【Ereignisablauf】
Am frühen Morgen des 6. September geriet die Bitcoin-Seitenkette Liquid Network in eine Sicherheitslücke mit einem Umfang von rund 320 Millionen US-Dollar. Die ursprünglich in den Bündnis-Wallets gelagerten 4.200 Bitcoins wurden innerhalb weniger Stunden auf 4.000 Einheiten reduziert, da 4.000 aus dem Wallet abgezogen wurden. Das Entwicklerteam Blockstream bestätigte später, dass die Ursache ein Softwarefehler im Sidechain-Code Elements war – nicht ein Leck von privaten Schlüsseln. Der Fehler führte dazu, dass das System scheinbar von selbst eine zusätzliche Charge Bitcoins erzeugte. Der Angreifer konnte diese „aufgeblähten“ Coins zusammen mit echten Vermögenswerten über die offiziell genehmigte Transaktionsplattform SideSwap abziehen. SideSwap räumte später ein, dass auch sie nicht unterscheiden könne, welche Coins durch den Fehler entstanden und welche tatsächlich echt seien.
【White-Hat-Aktion und Rückzahlung der Gelder】
Der Angreifer kommunizierte nach der Tat über eine in die $BTC Transaktion eingebettete OP_RETURN-Nachricht mit Blockstream. Er stellte sich als White-Hat-Hacker dar und gab 3.400 Bitcoins zurück (etwa 270 Millionen US-Dollar). Er behielt jedoch 598,5 Bitcoins (etwa 47 Millionen US-Dollar) als „Belohnung“ für die Entdeckung der Sicherheitslücke. Diese Art von Vorgehen – „eigene Identität offenlegen“ und nur teilweise zurückzahlen – ist in den letzten Jahren in mehreren großen Lücken bei Cross-Chain-Brücken nicht ungewöhnlich. In gewisser Hinsicht ist es bereits zu einem festen Drehbuch geworden: Der Angreifer testet damit die Reaktion der Projektbetreiber und vermeidet zugleich, eindeutig als strafrechtlicher Dieb eingestuft zu werden.
【Stillstandsbereich und Auswirkungen auf Vermögenswerte】
Liquid Network hat die Brücken-Knotenpunkte geschlossen und die Börsen aufgefordert, Ein- und Auszahlungen von L-BTC (der Seitenketten-Variante von Bitcoin) auszusetzen. Dadurch befindet sich die gesamte Sidechain faktisch im Stillstand. Wichtig ist dabei: Andere auf Liquid ausgegebene Vermögenswerte – einschließlich $USDT-Stablecoins – sowie DePix, das in brasilianischer Real-Notation notiert ist, sind nicht direkt betroffen. Das Problem beschränkt sich auf den L-BTC-peg-out (das Umtauschen von Sidechain-Vermögenswerten zurück in Bitcoins aus dem Mainnet). Nicht bei allen Transaktionen der gesamten Sidechain läuft etwas schief. Blockstream bestätigte am 7. September später, dass die Sicherheitslücke behoben ist, und rief den Angreifer auf, die verbleibenden Gelder so schnell wie möglich zurückzugeben. Bislang hat die offizielle Stelle jedoch noch keinen vollständigen technischen Ursachenbericht veröffentlicht.
【Bedeutung für das Vertrauen in Bitcoin】
Dieser Vorfall zielt auf die Sidechain- und Brückenschicht ab, nicht auf den Konsensmechanismus des Bitcoin-Mainnets selbst. Der Markt geht jedoch ohnehin mit der Annahme von „Vertrauen“ rund um die Infrastruktur um, die um Bitcoin herum gebaut ist, deutlich weniger robust – also viel verwundbarer als die Mainnet-Ebene. In den vergangenen Jahren sind bei Cross-Chain-Brücken oder Layer-2-Lösungen Lücken-Summen von schnell hunderten Millionen oder mehr, also im Bereich von mehreren hundert Millionen US-Dollar, praktisch schon Normalitätskosten in diesem Umfeld. Die meisten Trader betrachten solche Ereignisse so, dass sie die Mainnet-Sicherheit davon trennen: Die Schwierigkeitsgrad-Anpassung beim Bitcoin-Mining und der Konsensmechanismus wurden nicht berührt. Aber jede auf Bitcoin aufbauende Second-Layer-Infrastruktur ist im Vergleich zum Mainnet selbst deutlich komplexer – und genau deshalb ist die Angriffsfläche bei der Bewertung von Sidechain-/Brücken-Lösungen durch institutionelle Gelder besonders wichtig.
【Schwerpunkte für die weitere Beobachtung】
Als Nächstes gibt es zwei Dinge zu beobachten: Ob Blockstream einen vollständigen Root-Cause-Analysebericht veröffentlichen wird (aktuell wird nur bestätigt, dass es sich um einen Softwarefehler im Elements-Code handelt; Details sind nicht öffentlich), und ob der Angreifer die restlichen 598,5 Bitcoins am Ende vollständig zurückzahlen wird. Der Unterschied zu einigen Cross-Chain-Brücken-Lücken, die es in diesem Jahr zuvor gab, liegt darin, dass der Angreifer proaktiv mehr als 90 % der Gelder zurückerstattet und öffentlich kommuniziert hat. Ob diese Art der Vorgehensweise später von Börsen oder Aufsichtsbehörden als „akzeptabler Modus für die Offenlegung einer Sicherheitslücke“ gewertet wird, könnte als Präzedenzfall die Behandlung ähnlicher Vorfälle in Zukunft beeinflussen.