Cinco semanas depois de um atacante explorar uma falha no software Elements da Blockstream, que sustenta a Liquid Network, os levantamentos de bitcoin a partir da sidechain continuam suspensos. A reserva que sustenta os tokens L-BTC cobre atualmente apenas 85,8% da oferta em circulação, deixando um défice de aproximadamente 603 BTC, no valor de cerca de 50 milhões de dólares, antes de se poder restabelecer a paridade.
O exploit ocorreu a 6 de setembro, quando uma vulnerabilidade na Elements permitiu a criação e o resgate de L-BTC sem a devida autorização. De acordo com o relatório de incidente da Blockstream, publicado a 23 de setembro, a falha subjacente no mecanismo de cache da Elements existia desde 2018. Às 13:53 UTC de 6 de setembro, o atacante gerou cerca de 4.000 L-BTC sem qualquer lastro em bitcoin, testando primeiro o exploit com um levantamento de 2,5 L-BTC antes de escalar a operação. Toda a operação demorou 35 minutos. Até às 14:28 UTC, a federação tinha libertado 3.996,02 BTC na rede Bitcoin, esvaziando uma reserva que rondava os 4.205 BTC antes do ataque.
O relatório da Blockstream nota que o atacante não comprometeu as chaves de assinatura da federação nem a chave de levantamento da SideSwap. Em vez disso, o sistema automatizado da SideSwap processou os pedidos de levantamento sem limite máximo nem revisão humana, permitindo que os fundos drenados se movimentassem rapidamente. O USDT emitido na Liquid Network não foi afetado pelo exploit.
Recuperação parcial, défice persistente
Um agente white-hat devolveu 3.400 BTC à rede a 7 de setembro, um dia depois do exploit. Isso deixou entre 598 e 603 BTC ainda por contabilizar. Um hacker envolvido no incidente exigiu uma recompensa de 10% sobre os fundos ainda retidos, uma exigência que a Blockstream rejeitou. A empresa anunciou a 11 de setembro que não pagaria qualquer resgate.
Cada L-BTC atualmente em circulação está lastreado por aproximadamente 0,86 BTC, em vez de um bitcoin inteiro. Dados do explorador da Liquid Network mostram 3.632,23 BTC detidos em reserva contra 4.234,76 L-BTC em circulação, uma discrepância que mantém os peg-outs congelados há 35 dias.
Condições para a reabertura
A Liquid retomou a produção de blocos e as transações normais a 10 de setembro, quatro dias depois do exploit, mas os levantamentos de volta para a mainnet da Bitcoin ainda não foram retomados. A rede estabeleceu quatro condições antes de os peg-outs poderem reabrir: cobertura total da reserva face ao L-BTC em circulação, adoção do software Elements atualizado, conclusão de auditorias de segurança e novos mecanismos de gestão de chaves.
A versão 23.3.4 da Elements, que corrige a falha explorada em setembro, foi lançada a 9 de setembro. Uma auditoria externa independente a essa versão ainda está em curso. A Blockstream não indicou uma data para a eventual retoma dos levantamentos, deixando os detentores de L-BTC sem um calendário claro quanto ao momento em que o token voltará a ser totalmente convertível em bitcoin.
