Een onbekende partij haalde bijna alle bitcoin uit de federatiewallet van de Liquid sidechain, waarop het netwerk prompt werd gepauzeerd. De opnemers lieten een on-chain bericht achter waarin ze zich ‘whitehats’ noemden.
De Liquid sidechain, een project van Blockstream, is zondag volledig stilgelegd nadat een onbekende partij bijna alle bitcoin (BTC) uit de federatiewallet van het netwerk had opgenomen. Het gaat om ongeveer 3.998 bitcoin, met een geschatte waarde van ruim 300 miljoen euro op het moment van de transactie.
De opname gebeurde in twee transacties: eerst 2,5 BTC, gevolgd door 3.995,99999857 BTC, die landden op één adres. Vier uur later lieten de ontvangers van de bitcoin een on-chain bericht achter met de tekst “we are whitehats. contact us on chain”, wat aangeeft dat ze zichzelf zien als ethische hackers die een kwetsbaarheid wilden aantonen. Blockstream reageerde daarop met het verzoek om contact op te nemen via e-mail.
Kwetsbaarheid in de ‘peg-out’ sleutel
De Liquid Network beweert dat de opnames plaatsvonden via een functionele ‘Peg-out Authorization Key’ (PAK), en niet door een gecompromitteerde sleutel. Dit roept vragen op over hoe de bitcoin precies de wallet heeft kunnen verlaten. De federatiewallet, een 11-van-15 multisig-constructie, houdt normaal gesproken de bitcoin in onderpand voor L-BTC (Liquid Bitcoin), de getokeniseerde versie van bitcoin op de sidechain.
Volgens de documentatie van Liquid duurt het drie dagen om de PAK-lijst bij te werken. Dit mechanisme is bedoeld om te voorkomen dat aanvallers na een compromittering direct geld kunnen opnemen. Het feit dat de ‘whitehats’ toch de fondsen konden verplaatsen, doet vermoeden dat de kwetsbaarheid complexer is dan een simpele sleutelcompromittering.
Gevolgen en onzekerheid
De Liquid Network heeft de bridge-nodes uitgeschakeld, wat betekent dat er geen nieuwe transacties kunnen worden ingediend. Cryptobeurzen die L-BTC aanbieden, zijn verzocht om stortingen en opnames te pauzeren. Andere activa op Liquid, zoals USDT en DePix, zijn volgens de verklaring van Liquid niet getroffen. De wallet die de L-BTC in omloop dekt, bevat nu nog slechts 197,47 BTC. Voor de lezer met een Liquid wallet betekent dit dat je tijdelijk geen toegang hebt tot je fondsen, wat frustrerend kan zijn in een ecosysteem dat juist snelle en goedkope transacties belooft.
De situatie blijft onzeker. Enerzijds biedt de ‘whitehat’-verklaring hoop op een oplossing zonder permanent verlies van fondsen, mits de partijen tot een akkoord komen. Anderzijds werpt het incident een schaduw over de beveiligingsmechanismen van Liquid en de transparantie ervan. Wij zien vooral dat dit de delicate balans tussen functionaliteit en veiligheid in DeFi-protocollen onderstreept, zeker wanneer een centrale autoriteit zoals Blockstream de touwtjes in handen heeft.
