De onbekende aanvaller hield een bedrag van bijna 600 bitcoin voor zichzelf, wat neerkomt op ongeveer 47,2 miljoen euro. De communicatie verliep opvallend genoeg volledig via bitcoin-transacties.
Sinds de onrust van afgelopen weekend rond de Liquid sidechain van Blockstream, heeft de onbekende aanvaller een aanzienlijk deel van de weggenomen bitcoin teruggegeven. Ongeveer 3.400 bitcoin, met een geschatte waarde van 268 miljoen euro, is teruggestort naar de federation wallet. De transactie, die maandag werd uitgezonden maar nog onbevestigd was, toont dat de aanvaller 598 bitcoin, ofwel zo’n 47,2 miljoen euro, voor zichzelf heeft gehouden.
De hele communicatie tussen Blockstream en de hacker verliep op een ongewone manier: via PGP-ondertekende berichten in de OP_RETURN-velden van bitcoin-transacties. Blockstream opende de dialoog zondagavond met een bericht om contact op te nemen, waarna de aanvaller maandagochtend antwoordde met de vraag of het ‘oké’ was om het grootste deel terug te sturen. Blockstream bevestigde dit met een ‘Ja, bedankt’ en gaf aan dat de ‘bridge nodes’ gepatcht waren, waarna de teruggave volgde.
Bug in Elements-software
Het incident begon toen 4.000 L-BTC via de SideSwap peg-out service werden omgezet in gewone bitcoin. SideSwap, een lid van de Liquid Federation, meldde dat dit kwam door een bug in de Elements-software van Blockstream. Hoewel de L-BTC normaal via een geldige peg-out autorisatie werden verwerkt, bleek later dat deze munten waren gecreëerd door de kwetsbaarheid in de software.
De totale hoeveelheid weggenomen bitcoin kwam neer op 3.998,50 BTC, of ongeveer 315 miljoen euro. De aanvaller heeft dus circa 15 procent van het oorspronkelijke bedrag behouden. Dit is een aanzienlijk bedrag, maar het feit dat een groot deel van de fondsen is teruggegeven, is opmerkelijk in de wereld van crypto-hacks, waar terugbetalingen zeldzaam zijn. De federation wallet houdt momenteel 197,47 BTC vast, en zou met de bevestiging van de terugbetaling uitkomen op 3.597,47 BTC.
Gevolg voor Liquid netwerk
De bridge nodes van Liquid zijn nog steeds uitgeschakeld, wat betekent dat er geen nieuwe transacties naar het netwerk kunnen worden gestuurd. Blockstream zelf heeft sinds zondag niets meer publiekelijk over het incident gezegd, en ook topman Adam Back heeft zich stilgehouden. De stilte rondom de exacte afspraken over het ‘bounty’ van de aanvaller roept vragen op, aangezien geen van beide partijen hierover iets heeft gepubliceerd. Dit laat de lezer achter met de vraag of dergelijke ‘witte hoed’-hacks in de toekomst vaker zullen leiden tot dergelijke onderhandelingen en gedeeltelijke teruggave.
