A Blockstream, empresa responsável pela sidechain Liquid Network, está em negociações para tentar reaver aproximadamente 598,5 BTC (cerca de US$ 47 milhões) que continuam retidos após uma exploração de segurança na rede.
O incidente ocorreu no domingo, quando indivíduos aproveitaram uma falha no software Elements, base técnica da Liquid. A vulnerabilidade permitiu a criação de tokens L-BTC sem lastro, que foram posteriormente trocados por Bitcoins da reserva principal da rede. No total, cerca de 4.000 BTC (avaliados em aproximadamente US$ 320 milhões) foram retirados. Na segunda-feira, os responsáveis devolveram 3.400 BTC, mantendo cerca de 15% dos fundos sob sua custódia.
Segundo o relatório do incidente publicado pela equipe da Liquid, os invasores converteram os tokens por meio da SideSwap, integrante da federação que opera um serviço de saque. A falha de validação ocorreu no nível da transação antes do processo de resgate (peg-out), levando tanto os nós da SideSwap quanto os nós validadores distribuídos da rede a aceitarem os L-BTC inválidos como legítimos.
Com a movimentação e outros saques processados antes da paralisação das atividades, as reservas da Liquid caíram de cerca de 4.205 BTC para 197 BTC. A empresa esclareceu que nenhuma chave privada foi comprometida e que a federação não sofreu invasão direta. Outros ativos emitidos na rede, como o USDT, não foram afetados pela vulnerabilidade técnica, embora as transferências tenham sido suspensas durante a interrupção da rede.
Na ocasião do ataque, os envolvidos publicaram uma mensagem gravada na blockchain do Bitcoin afirmando que atuavam como pesquisadores de segurança (white hats). No entanto, a recusa em devolver a totalidade dos ativos gerou ceticismo. Charles Guillemet, diretor de tecnologia (CTO) da Ledger, declarou no X que a retenção continuada de 600 BTC aproxima o caso de uma extorsão, distanciando-se da conduta padrão de segurança ética.
A Blockstream informou que prepara uma atualização emergencial de software para corrigir o estado da rede, invalidar o saque indevido e restabelecer as operações normais de forma segura.
Fonte: $47M Still Missing After Liquid Hack as Blockstream Bargains With ‘White Hats’
DYOR.
