SideSwap Разбор: автоматический peg-out — превратил 4000 L-BTC в настоящие монеты
SideSwap сам подробно расписал: 6 сентября из-за уязвимости в консенсусе Elements было «выпущено» около 4000 безобеспеченных L-BTC. Другая сторона выполнила peg-out, а Federation вывела примерно 3996 BTC.
Ключи кошелька не потеряны — их потеряли в операционном дизайне: ключ авторизации для peg-out был надолго оставлен в режиме онлайн, а платежи автоматически уходили наружу. Крупные суммы, частота и источники почти не ограничивались. В этом же разборе упомянули и еще более болезненную деталь: патч к уязвимости был написан еще в августе, а в публичный репозиторий он попал только 1 сентября. За это время был достаточный «период репетиций» для более чем семидесяти «контрольных» транзакций.
Не воспринимайте фразу «с некастодиальным кошельком все в порядке» как «мост все еще может нормально принимать и выдавать». Liquid пока остается на месте: пока peg не включен, не стоит по умолчанию считать, что можно будет выкупить обратно.
Автоматический крупный peg-out — куда более неприятно, чем даже заголовок про уязвимость.
SideSwap сам подробно расписал: 6 сентября из-за уязвимости в консенсусе Elements было «выпущено» около 4000 безобеспеченных L-BTC. Другая сторона выполнила peg-out, а Federation вывела примерно 3996 BTC.
Ключи кошелька не потеряны — их потеряли в операционном дизайне: ключ авторизации для peg-out был надолго оставлен в режиме онлайн, а платежи автоматически уходили наружу. Крупные суммы, частота и источники почти не ограничивались. В этом же разборе упомянули и еще более болезненную деталь: патч к уязвимости был написан еще в августе, а в публичный репозиторий он попал только 1 сентября. За это время был достаточный «период репетиций» для более чем семидесяти «контрольных» транзакций.
Не воспринимайте фразу «с некастодиальным кошельком все в порядке» как «мост все еще может нормально принимать и выдавать». Liquid пока остается на месте: пока peg не включен, не стоит по умолчанию считать, что можно будет выкупить обратно.
Автоматический крупный peg-out — куда более неприятно, чем даже заголовок про уязвимость.
