الجدول الزمني لحادثة سرقة Liquid Network: كيف سحبت عملية سك غير طبيعية ما يقرب من 4000 بيتكوين
chaincatcherبقلم: غو يو، ChainCatcher
في 6 سبتمبر، وقع حادث أمني على السلسلة الجانبية للبيتكوين Liquid Network، شمل ما يقرب من 320 مليون دولار، حيث تم تحويل حوالي 4000 بيتكوين من محفظة احتياطي اتحاد Liquid. وعلى عكس تسريبات المفاتيح الخاصة الشائعة أو اختراقات التوقيع المتعدد، صرحت Liquid أن مفتاح تفويض الخروج المرتبط (PAK) نفسه لم يتم اختراقه؛ بل استغل المهاجم ثغرة في برنامج Elements الأساسي لتوليد LBTC بشكل غير طبيعي وأكمل عملية خروج طبيعية عبر السلسلة.
بعد الحادث، علقت Liquid الأنشطة المتعلقة بالشبكة، وأوقفت عدة منصات تداول إيداعات وسحوبات LBTC. بعد ذلك، تواصل المهاجم، الذي ادعى أنه "هاكر قبعة بيضاء"، مع Blockstream عبر رسائل على السلسلة وأعاد 3400 بيتكوين بعد أن أكدت Blockstream اكتمال إصلاح العقد. ومع ذلك، بقي حوالي 598.5 بيتكوين تحت سيطرة المهاجم، بقيمة تقارب 47 مليون دولار.
حتى 8 سبتمبر، عندما ستتعافى شبكة Liquid بالكامل، لا تزال كيفية التعامل مع الأموال المتبقية والتفاصيل التقنية الكاملة للثغرة بانتظار مزيد من الإفصاح.
خروج يبدو طبيعيًا، 4000 بيتكوين تغادر محفظة الاحتياطي فجأة
شبكة Liquid هي سلسلة جانبية للبيتكوين تدعمها Blockstream، تُستخدم أساسًا لتسويات BTC السريعة والسرية، مع دعم إصدار العملات المستقرة والأوراق المالية المرمزة وأصول أخرى. إحدى آلياتها الأساسية هي الربط بنسبة 1:1 بين BTC وLBTC: يقوم المستخدمون بإيداع BTC في محفظة بيتكوين يتحكم فيها اتحاد Liquid ويحصلون على الكمية المقابلة من LBTC؛ وفي العملية العكسية، يتم إتلاف LBTC، ويقوم الاتحاد بإطلاق BTC للمستخدم.
لمنع أي مستخدم من استبدال LBTC بشكل عشوائي بـ BTC على الشبكة الرئيسية، أدخلت عملية الخروج في Liquid أيضًا آلية PAK. تشير الوثائق الرسمية إلى أنه يجب على المستخدمين إثبات أن عنوان بيتكوين الخاص بهم ينتمي إلى إدخال PAK مصرح به، ثم تتم معالجته بواسطة الحراس في الشبكة لإطلاق BTC.
في 6 سبتمبر، تعطلت هذه الآلية فجأة.
وفقًا للمعلومات التي كشفت عنها SideSwap، أرسل مستخدم حوالي 4000 LBTC إلى خدمة الخروج الخاصة بها. قامت SideSwap بإتلاف هذه الـ LBTC وفقًا للعملية العادية وبدأت خروجًا إلى عنوان بيتكوين المحدد. في النهاية، دفع اتحاد Liquid حوالي 3996 BTC إلى ذلك العنوان.
كانت المشكلة أن هذه الـ 4000 LBTC لم تكن تقابل 4000 BTC التي كانت مقفلة سابقًا في محفظة الاتحاد.
قررت Liquid لاحقًا أن هذه الدفعة من LBTC نشأت من ثغرة في برنامج Elements. بعبارة أخرى، لم يحصل المهاجم أولاً على المفتاح الخاص لمحفظة الاتحاد ثم قام بتحويل BTC مباشرة؛ بل استغل ثغرة برمجية لإنشاء أو الحصول على LBTC لم يكن من المفترض أن توجد، ثم استبدلها بـ BTC حقيقية عبر آلية الخروج العادية في Liquid.
وهذا يفسر أيضًا سبب عدم اختراق PAK في هذا الحادث. صرحت SideSwap أن الخروج المتأثر استخدم عملية تفويض صالحة، ولم يتم اختراق نظامها الخاص أو PAK؛ كانت المشكلة في منطق توليد LBTC في المرحلة السابقة.
من النتيجة، استغل المهاجم فعليًا ثغرة برمجية في الافتراض الأساسي لـ Liquid بأن "LBTC يجب أن تكون مدعومة بكمية مساوية من BTC": قبل النظام LBTC التي لا ينبغي أن توجد، وعاملتها عملية الخروج اللاحقة كأصل عادي، مما سمح في النهاية باستبدال LBTC غير الموجودة بـ BTC حقيقية.
تنص الوثائق الرسمية لـ Liquid بوضوح على أن LBTC وBTC تحافظان على ربط بنسبة 1:1، ويجب ألا يتجاوز المبلغ المتداول من LBTC كمية BTC المقفلة من قبل الاتحاد. وقد قوض هذا الحادث هذا القيد الأساسي بالضبط.
سحب ما يقرب من 95% من احتياطيات BTC، Liquid تعلق الخدمات بشكل عاجل
حظي حجم هذا الهجوم باهتمام كبير، ليس فقط لأن المبلغ وصل إلى حوالي 320 مليون دولار، ولكن أيضًا لأن BTC المحولة شكلت جزءًا كبيرًا من احتياطيات Liquid في ذلك الوقت.
قبل الحادث، كان هناك حوالي 4200 BTC في محفظة اتحاد Liquid. يعني تحويل حوالي 4000 BTC أن حوالي 95% من الاحتياطيات تأثرت. قامت Liquid بعد ذلك بإغلاق عقد الجسر وعلقت معاملات الشبكة الجديدة؛ كما أوقفت بعض منصات التداول إيداعات وسحوبات LBTC.
في إعلانها الأولي، ذكرت Liquid أن الحادث شمل "هاكرز قبعة بيضاء مشتبه بهم" وأشارت إلى أن Blockstream كانت على اتصال مع المتحكمين في الأموال عبر رسائل على السلسلة. كما ذكّرت الشبكة المستخدمين بأن محافظهم والخدمات ذات الصلة ستتأثر أثناء التعليق.
من الجدير بالذكر أن Liquid صرحت بأن هذا الحادث أثر بشكل أساسي على احتياطيات BTC وادعت أن أصول Liquid الأخرى، بما في ذلك USDT وDePix وبعض أصول العالم الحقيقي، لم تتأثر بالمثل. ومع ذلك، بسبب تعليق شبكة Liquid نفسها، قد يتأثر النقل والاستخدام العادي للأصول ذات الصلة على مستوى الخدمة.
وهذا يميز هذا الحادث عن المفهوم التقليدي لـ "سرقة المحفظة الساخنة". لم يقم المهاجم ببساطة باختراق نظام توقيع المحفظة، بل استغل ثغرة الاتصال بين برنامج السلسلة الجانبية وآليات الاسترداد عبر السلسلة.
هوية "القبعة البيضاء" تثير الجدل، إعادة 3400 بيتكوين
اتخذت التطورات اللاحقة للحادث منعطفًا ملحوظًا.
بعد تحويل الأموال، ترك المهاجم رسالة في حقل OP_RETURN لمعاملة البيتكوين، مدعيًا أنهم "قبعات بيضاء"، وطلب من Liquid الاتصال بهم عبر وسائل على السلسلة. تواصلت Blockstream بعد ذلك معهم باستخدام رسائل على السلسلة.
في التواصل اللاحق، طالب المهاجم بأن تقوم Blockstream أولاً بإصلاح الثغرة وضمان إكمال جميع العقد ذات الصلة للتحديثات قبل النظر في إعادة الأموال.
في 7 سبتمبر، أكدت Blockstream عبر رسالة موقعة على السلسلة: "تم ترقيع عقد الجسر، من الآمن إعادة الأموال." بعد ذلك، أعاد المهاجم 3400 BTC إلى عنوان اتحاد Liquid.
وهذا يعني أنه حتى الآن، عاد حوالي 85% من BTC المحولة إلى المحافظ التي تسيطر عليها Liquid، بينما لا يزال حوالي 598.5 BTC محتفظًا بها من قبل المتحكمين الأصليين في الأموال، بقيمة تقارب 47 مليون دولار بالأسعار الحالية.
ومع ذلك، لا يزال ما إذا كان يمكن تعريف المهاجم حقًا على أنه "قبعة بيضاء" مثيرًا للجدل. من ناحية، أعادوا بشكل استباقي الغالبية العظمى من الأموال بعد إصلاح الثغرة وطلبوا من Blockstream إعطاء الأولوية لإصلاح الثغرة، وهو ما يحمل بعض التشابه مع سلوكيات معينة للإفصاح عن الثغرات من قبل القبعات البيضاء؛ من ناحية أخرى، قام المهاجم بتحويل حوالي 4000 BTC دون إذن قبل إقامة اتصال مع فريق المشروع.
لذلك، تستخدم Liquid حاليًا تعبير "هاكر قبعة بيضاء مُعلن ذاتيًا" بحذر. كما أشار خبراء أمن الصناعة إلى أن الإفصاح المسؤول التقليدي عن الثغرات يتطلب عادةً من الباحثين الإبلاغ عن الثغرات لفريق المشروع أولاً بعد الاكتشاف، بدلاً من السيطرة المباشرة على أصول البروتوكول. شكك تشارلز جيليميت، الرئيس التنفيذي للتكنولوجيا في Ledger، علنًا في ادعاء "القبعة البيضاء" في هذا الحادث واعتبر أن نهج تحويل كميات كبيرة من الأصول أولاً ثم مطالبة فريق المشروع بإصلاح الثغرة مثير للجدل بوضوح.
الحادث يكشف حقًا اعتماد الأنظمة عبر السلاسل على الافتراضات البرمجية
لا يزال الحادث قيد التحقيق، ولم يتم بعد الإفصاح عن التفاصيل التقنية الكاملة للثغرة المحددة في Elements من قبل Blockstream. لذلك، ليس من المناسب استخلاص استنتاجات حول الأسباب البرمجية المحددة للثغرة وكيف اكتشفها المهاجم واستغلها.
ومع ذلك، من المعلومات المفصح عنها، يكشف الحادث على الأقل عن خطر رئيسي في بنية Liquid: أمان التوقيع المتعدد لمحفظة الاتحاد نفسه لا يعني أن النظام عبر السلاسل بأكمله خالٍ من إمكانية إطلاق الأموال بشكل غير طبيعي.
تستخدم Liquid نموذج اتحاد لإدارة BTC المقفلة على شبكة البيتكوين الرئيسية وتحدد متى تسمح بالخروج من خلال قواعد برمجية. تشير الوثائق التقنية الرسمية إلى أن آلية التوقيع المتعدد للاتحاد تتطلب مشاركة أكثر من ثلثي الحراس للوصول إلى الأموال، كما تم تصميم آلية استرداد طارئة.
ومع ذلك، تجاوز هذا الحادث المسار التقليدي لـ "سرقة المفاتيح الخاصة". استغل المهاجم العلاقات المنطقية بين إصدار الأصول، والتحقق من LBTC، وعمليات الخروج، مما جعل النظام يعامل LBTC المولدة بشكل غير طبيعي كأصول شرعية، مما أدى في النهاية إلى إطلاق BTC حقيقية.
لذلك، من منظور تقني، لم يكن هذا هجومًا على شبكة البيتكوين الرئيسية نفسها. لم تتأثر آلية الإجماع للبيتكوين، وكتل الشبكة الرئيسية، والتحقق من ملكية BTC بهذا الحادث؛ كان الطرف المتأثر هو Liquid، السلسلة الجانبية المبنية على البيتكوين، وآلية ربط الأصول الخاصة بها.
في الوقت نفسه، يسلط الحادث الضوء أيضًا على أهمية إدارة دورة حياة الثغرات البرمجية. Elements هو البرنامج مفتوح المصدر الذي تعمل عليه Liquid، وقد أكدت Liquid أن المشكلة تنشأ من Elements. أما بالنسبة لمدة وجود هذه الثغرة، ولماذا لم يتم اكتشافها في وقت سابق، وما إذا كانت قد أثرت على عمليات نشر أخرى متعلقة بـ Elements، وما إذا كانت هناك مسارات استغلال محتملة أخرى، فستحتاج الإجابة على هذه الأسئلة إلى مزيد من التدقيق والإفصاحات الرسمية.
بالنسبة للمستخدمين، يبقى السؤال الأكثر إلحاحًا هو متى ستستأنف خدمات Liquid وما إذا كان يمكن في النهاية إعادة حوالي 598.5 BTC المتبقية إلى محفظة الاتحاد. بالنسبة لـ Blockstream وLiquid، هناك حاجة إلى مزيد من التفسيرات بشأن الأسباب المحددة للثغرة، وإصدارات البرامج المتأثرة، ونطاق الإصلاحات، وإجراءات الأمان اللاحقة.
أدت إعادة 3400 BTC إلى تخفيف الضغط المالي على Liquid، لكن الحادث نفسه لم ينتهِ بالكامل بعد. حتى يتم تأكيد تفاصيل الثغرة والأموال المتبقية وخطط استرداد الشبكة بشكل أكبر، تبقى الإجابة الكاملة عن هذا الحادث بحاجة إلى استكمال.
هذا المحتوى لأغراض معلوماتية وتعليمية فقط، ولا يمثل نصيحة استثمارية تتعلق بـ BTCC. تبذل BTCC قصارى جهدها ولكنها لا تضمن صحة أو دقة أو أصالة المحتوى المذكور أعلاه.