„White Hat“ Hacker erleichtern Liquid Network um fast 600 Bitcoin
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
Der Angriff auf Liquid, die von Blockstream betriebene Bitcoin-Sidechain, ist vorerst beigelegt, und zwar zu einem stolzen Preis. Jene Gruppe, die am Sonntag rund 4.000 BTC aus der Federation-Wallet des Netzwerks abgezogen hatte, überwies am Montag 3.400 BTC zurück. Die restlichen 598,5 BTC blieben auf der Adresse der Angreifer:innen liegen, als eine Art selbst festgelegtes Finderlohn-Honorar. Bei einem Bitcoin-Kurs von aktuell rund 78.500 Dollar entspricht das etwa 47 Mio. Dollar oder gut 40 Mio. Euro. Es sind exakt 15 Prozent der ursprünglich abgezogenen Summe.
Über den Vorfall selbst hat Trending Topics bereits berichtet: Über den Peg-out-Pfad des Dienstleisters SideSwap wurden 4.000 L-BTC eingelöst, woraufhin die Liquid Federation knapp 3.996 echte Bitcoin an eine Adresse auszahlte. Der Peg-out Authorization Key von SideSwap war laut Netzwerk nicht kompromittiert. Ursache war nach Darstellung von SideSwap ein Bug in der Elements-Software, auf der Liquid aufsetzt. Das Netzwerk wurde pausiert, Börsen stoppten Ein- und Auszahlungen von L-BTC.
Verhandlungen in der Blockchain
Bemerkenswert ist, wie die beiden Seiten miteinander gesprochen haben: über Nachrichten, die direkt in Bitcoin-Blöcke geschrieben wurden. Die Gruppe, die sich selbst als „White Hats“ versteht, meldete sich zuerst mit einem „contact us on chain“ im OP_RETURN-Feld einer Transaktion, abgesetzt von jener Adresse, auf der die 4.000 BTC lagen. Eine Blockstream zuzuordnende Adresse antwortete mit dem Verweis auf security@blockstream.com. Danach wechselten die Beteiligten auf verschlüsselte und PGP-signierte Nachrichten, deren Signaturen sich gegen den öffentlichen Sicherheitsschlüssel von Blockstream prüfen lassen.
Die zentrale Bedingung formulierten die Angreifer:innen so: „Please fix the bug first. The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix.“ Blockstream bestätigte Stunden später im Klartext: „Bridge nodes are patched, safe to return the funds.“ Kurz darauf landeten die 3.400 BTC wieder auf der Peg-Adresse der Federation, der Rest ging als Wechselgeld zurück an die Adresse der Gruppe.
Was danach passierte, deutet auf Streit hin. Wie Bitcoin Magazine dokumentiert, folgten mehrere verschlüsselte Nachrichten von der Blockstream-Adresse, danach ein weiterer Austausch, und schließlich setzten die „White Hats“ ein trauriges Smiley in die Blockchain. Der Inhalt der verschlüsselten Nachrichten ist nicht bekannt, öffentlich geäußert hat sich Blockstream dazu bisher nicht. Der Verlauf legt nahe, dass ein Nachverhandeln der Höhe des Finderlohns gescheitert ist.
15 Prozent sind am oberen Ende
In der Krypto-Branche haben sich nach großen Exploits informelle Bounties etabliert, mit denen Protokolle den Großteil ihrer Mittel zurückkaufen, statt auf Strafverfolgung zu setzen. Üblich sind dabei Sätze im niedrigen einstelligen bis knapp zweistelligen Prozentbereich, häufig zusätzlich gedeckelt. Die hier einbehaltenen 15 Prozent liegen darüber, vor allem aber ist die absolute Summe außergewöhnlich: Ein Bug-Bounty-Programm mit einer Auszahlung von 47 Mio. Dollar existiert in der Branche schlicht nicht. Dazu kommt, dass es keine vorherige Vereinbarung gab, die Höhe wurde einseitig gesetzt.
Juristisch ist die Sache damit für die Gruppe alles andere als ausgestanden. Wer Gelder ohne Zustimmung abzieht und einen Teil davon behält, bewegt sich unabhängig von der Selbstbezeichnung als „White Hat“ im strafrechtlich relevanten Bereich. Auch The Block spricht in seiner Berichterstattung schlicht von „attacker“.
Für Liquid bleibt neben dem finanziellen Schaden ein Reputationsproblem. Die Sidechain wird von einem Konsortium aus Börsen und Finanzdienstleistern betrieben und positioniert sich als institutionelle Infrastruktur für Bitcoin. Dass ein Fehler in Elements eine Ausgabe von L-BTC ohne Deckung ermöglichte und die Federation diese anschließend in echte Bitcoin auszahlte, trifft genau jenen Punkt, an dem das Modell Vertrauen einfordert. Ob und wann das Netzwerk vollständig entsperrt wird, war zuletzt offen.
