Gerade eben wurde die Liquid-Alliance-Wallet geleert: etwa 4000 $BTC wurden abgezogen. Viele dachten als Erstes, Bitcoin sei gehackt.
Nicht das Mainnet.
Das ist eine Bitcoin-Sidechain von Blockstream. Die offizielle Darstellung ist sehr klar: Die Peg-out-Authorization-Keys von SideSwap sind nicht verloren gegangen, ebenso wenig die übrigen Keys der Föderation. Die Schwachstelle liegt in der Elements-Software. Es sind plötzlich mehr L-BTC aufgetaucht, ohne dass dafür ausreichend Sicherheiten hinterlegt waren; sie wurden einmal über einen offenbar legitimen Peg-out-Prozess abgerufen. Dabei haben 15 Bundes-Schlüssel insgesamt 11 unterschrieben. Etwa 320 Millionen US-Dollar verließen daraufhin die Reserve-Wallet.
Die Wallet der Föderation hatte vorher etwa 4200 Coins; nach dem Abzug blieben nur noch rund 197 übrig. L-BTC ist vorerst nicht mehr 1:1. Andere On-Chain-Vermögenswerte wurden nicht in Mitleidenschaft gezogen.
Der Angreifer/Absender gibt sich als Whitehat und hat per OP_RETURN-Nachricht im Rahmen einer Bitcoin-Transaktion die Ansage gemacht. Blockstream hat mit öffentlich gemachten Security-Keys eine PGP-Signatur-Antwort erstellt: Die Bridging-Nodes seien gefixt und könnten sicher zurückgegeben werden. Danach schickte der andere Partei 3400 Coins zurück und ließ etwa 598,5 übrig; bei aktuellen Kursen sind das ungefähr 47 Millionen US-Dollar. In der On-Chain-Kommunikation wurde nicht ausdrücklich festgehalten, dass es sich um eine vereinbarte Belohnung handelt.
Das Netzwerk steht noch. Forks müssen behandelt, ausreichende Sicherheiten nachgelegt werden. Mow hatte gewarnt: Nicht auf Peg-in-Adressen einzahlen.
Woran man sich bei dieser Sache wirklich erinnern sollte, ist nicht die Überschrift. Das Bitcoin-Mainnet blieb unberührt. Bewegt wurden nur die Sidechain, die Föderationssignaturen und die Brücke. Beim Brücken und Custody ist das Vertrauensmodell nie dasselbe wie im Mainnet.
Beim nächsten Mal, wenn du den Abfluss von mehreren tausend Coins $BTC siehst, prüfe zuerst, ob die Zieladresse eine Börse oder eine Föderations-Wallet ist – lass dir nicht von einem Push die Short-Position „für dich“ machen.
Sollten 598 Coins zurückbehalten werden? Wie siehst du das?
Die obigen Angaben sind nur persönliche Beobachtungen und stellen keine Anlageberatung dar.
#BTC-Sidechain-Sicherheit
Nicht das Mainnet.
Das ist eine Bitcoin-Sidechain von Blockstream. Die offizielle Darstellung ist sehr klar: Die Peg-out-Authorization-Keys von SideSwap sind nicht verloren gegangen, ebenso wenig die übrigen Keys der Föderation. Die Schwachstelle liegt in der Elements-Software. Es sind plötzlich mehr L-BTC aufgetaucht, ohne dass dafür ausreichend Sicherheiten hinterlegt waren; sie wurden einmal über einen offenbar legitimen Peg-out-Prozess abgerufen. Dabei haben 15 Bundes-Schlüssel insgesamt 11 unterschrieben. Etwa 320 Millionen US-Dollar verließen daraufhin die Reserve-Wallet.
Die Wallet der Föderation hatte vorher etwa 4200 Coins; nach dem Abzug blieben nur noch rund 197 übrig. L-BTC ist vorerst nicht mehr 1:1. Andere On-Chain-Vermögenswerte wurden nicht in Mitleidenschaft gezogen.
Der Angreifer/Absender gibt sich als Whitehat und hat per OP_RETURN-Nachricht im Rahmen einer Bitcoin-Transaktion die Ansage gemacht. Blockstream hat mit öffentlich gemachten Security-Keys eine PGP-Signatur-Antwort erstellt: Die Bridging-Nodes seien gefixt und könnten sicher zurückgegeben werden. Danach schickte der andere Partei 3400 Coins zurück und ließ etwa 598,5 übrig; bei aktuellen Kursen sind das ungefähr 47 Millionen US-Dollar. In der On-Chain-Kommunikation wurde nicht ausdrücklich festgehalten, dass es sich um eine vereinbarte Belohnung handelt.
Das Netzwerk steht noch. Forks müssen behandelt, ausreichende Sicherheiten nachgelegt werden. Mow hatte gewarnt: Nicht auf Peg-in-Adressen einzahlen.
Woran man sich bei dieser Sache wirklich erinnern sollte, ist nicht die Überschrift. Das Bitcoin-Mainnet blieb unberührt. Bewegt wurden nur die Sidechain, die Föderationssignaturen und die Brücke. Beim Brücken und Custody ist das Vertrauensmodell nie dasselbe wie im Mainnet.
Beim nächsten Mal, wenn du den Abfluss von mehreren tausend Coins $BTC siehst, prüfe zuerst, ob die Zieladresse eine Börse oder eine Föderations-Wallet ist – lass dir nicht von einem Push die Short-Position „für dich“ machen.
Sollten 598 Coins zurückbehalten werden? Wie siehst du das?
Die obigen Angaben sind nur persönliche Beobachtungen und stellen keine Anlageberatung dar.
#BTC-Sidechain-Sicherheit