Експлойт Liquid Network: як зникли 20 млн у BTC

Раптовий стоп-кран для Liquid Network

Уявіть собі недільний ранок, ви п’єте каву, гортаєте стрічку новин і раптом бачите, що один із найвідоміших L2-сайдчейнів біткоїна — Liquid Network від Blockstream — повністю зупинив роботу. Причина банальна і водночас шокуюча: з мережі вивели близько 4000 BTC. За курсом на момент події це астрономічні 320 мільйонів доларів!

Як провернули трюк: баг в Elements

Першим на сполох забив відомий ончейн-детектив Ergo BTC. Згодом розробники підтвердили найгірші побоювання: стався серйозний експлойт. Представники маркетплейсу Sideswap розповіли, що один із клієнтів надіслав 4000 L-BTC на їхній сервіс автоматичного виведення коштів (так званий peg-out).

Система обробила запит у звичайному режимі: L-BTC були «спалені» в мережі Liquid, а натомість користувач отримав реальні біткоїни на свою адресу. Проблема в тому, що ці L-BTC були створені буквально з повітря завдяки критичній помилці в програмному забезпеченні Elements від Blockstream.

Зараз роботу мережі призупинено, а біржам дали команду заморозити будь-які операції з L-BTC. Глибока аналітика цього інциденту показує, що навіть перевірений роками блокчейн-софт може мати приховані вразливості, про які ніхто не здогадувався.

«Білі капелюхи» чи звичайні шахраї?

У Blockstream намагаються зберігати оптимізм і запевняють, що це справа рук етичних хакерів (так званих white hats). Вони нібито просто хотіли продемонструвати діру в системі безпеки, поки її не знайшли справжні злочинці. Компанія навіть надіслала ончейн-повідомлення з проханням зв’язатися з ними через захищені канали зв’язку.

Проте криптоспільнота налаштована скептично. Технічний директор Ledger Шарль Гійоме зазначив, що поведінка цих «рятівників» мало схожа на стандартну практику білих хакерів. Вони вимагають спілкування в месенджері Signal, що є типовим для звичайних кіберзлочинців. З іншого боку, є припущення, що це могли бути ентузіасти, які шукали баги за допомогою сучасних мовних моделей на кшталт ChatGPT, і просто не знали, як правильно повідомити про знахідку без галасу.

Удар по гаманцю Aqua та репутації L2-рішень

Семсон Моу, керівник компанії JAN3, яка створила популярний гаманець Aqua, підтвердив, що інцидент зачепив і їхній продукт. Функціонал роботи з Liquid у гаманці наразі обмежений, хоча звичайні транзакції в мережі Bitcoin проходять без жодних проблем. За його словами, розробники активно працюють над вирішенням проблеми, яка виявилася багом на рівні нод.

Цей випадок знову підіймає болюче питання безпеки сайдчейнів та мостів. Коли проект із капіталізацією в 3.2 мільярда доларів змушений вручну зупиняти мережу через технічну помилку, довіра користувачів починає стрімко танути.

Тверезий погляд на ризики

Цей короткий огляд ситуації нагадує нам головне правило цифрової економіки: абсолютно безпечних систем не існує. Будь-яка криптовалюта, смартконтракт чи L2-мережа несуть у собі технологічні та системні ризики. Якщо ви розглядаєте цифрові активи як інструмент для інвестицій чи потенційний заробіток, завжди пам’ятайте про правило DYOR (робіть власне дослідження). Ми не даємо фінансових порад, не обіцяємо легких грошей і ні до чого не закликаємо — лише ділимося фактами, аби ви могли приймати зважені рішення самостійно.