Сооснователь и главный научный сотрудник RootstockLabs Серхио Лернер призвал внедрить обязательные задержки вывода средств в биткоин-мостах. Поводом стал несанкционированный вывод примерно 4000 BTC из кошелька федерации Liquid Network: злоумышленники создали необеспеченные L-BTC и воспользовались сервисом SideSwap для обратного обмена на биткоин.
По словам Лернера, без тайм-замка единичная ошибка валидации и полная потеря средств становятся одним и тем же событием, поскольку активы уходят в момент, когда программное обеспечение подтверждает операцию. В случае с Liquid запрос на вывод 4000 L-BTC был обработан SideSwap в обычном порядке, так как токены невозможно было отличить от обеспеченных L-BTC. Федерация выплатила 3996 BTC на указанный адрес примерно через 23 минуты.
Позднее Liquid Network назвала действовавших лиц предположительно «белыми хакерами». После того как Blockstream подтвердила исправление затронутых узлов моста, они вернули 3400 BTC. По состоянию на 10 сентября около 598 BTC оставались непогашенными, Liquid возобновила производство блоков, но не восстановила транзакции и операции привязки. Ключ авторизации peg-out, по данным Liquid, украден не был.
Лернер считает, что обязательная пауза между созданием необеспеченных L-BTC и выдачей реальных BTC дала бы операторам несколько часов на реагирование. Автоматический мониторинг мог бы сравнить запрос на вывод с объемом обеспечения и выявить дисбаланс до завершения расчетов. «Если бы у Liquid был тайм-замок, при котором средства не могут двигаться в течение заданного периода независимо от того, что говорят софт или операторы, ошибка превратилась бы в управляемый инцидент, а не в немедленную полномасштабную катастрофу», — пояснил он.
Rootstock уже применяет задержку в 4000 блоков, или около 36 часов, для вывода BTC через свой двусторонний мост. Механизм опирается на специализированные аппаратные модули безопасности PowHSM, а также на merged-mining, при котором биткоин-майнеры вносят вычислительную мощность в сайдчейн. Перед подписанием вывода устройства самостоятельно проверяют, что прошло 4000 блоков Rootstock. Приватные ключи не покидают модули, поэтому даже сговор большинства участников не позволяет осуществить досрочный вывод; в худшем случае они могут остановить работу моста, но не перенаправить средства.
Для защиты от цензуры Лернер предлагает распределить полномочия по отзыву между независимыми многосторонними функционерами. Они могли бы приостанавливать обработку вывода, но не имели бы возможности конфисковать или перенаправить BTC. Кроме того, задержки могут варьироваться в зависимости от суммы и риска: для небольших платежей допустим более короткий срок, а для крупных выводов — более длительный. В перспективе нативные биткоин-хранилища и механизмы вроде BIP-443 с оператором OP_CHECKCONTRACTVERIFY (OP_CCV) способны перенести такие ограничения в консенсусный уровень биткоина, снизив зависимость от политик конкретного моста.
