Федерация Liquid во вторник, 3 ноября, объявила о полном восстановлении биткоин-резервов сети: все выпущенные токены LBTC снова обеспечены биткоинами в соотношении 1:1. Это произошло почти через два месяца после сентябрьского инцидента, в ходе которого из сети было выведено около 4 тыс. BTC — примерно $320 млн.
Атака 6 сентября использовала уязвимость в программном обеспечении Elements, связанную с кэшированием проверок range proof. Злоумышленник смог выпустить около 4 тыс. неподкреплённых LBTC и вывести реальные биткоины через платформу SideSwap, которая является членом федерации и обладает правом на обработку вывода средств. По оценкам Blockstream, резервы Liquid упали с 4 205 BTC до 197 BTC. При этом сеть и ключи операторов скомпрометированы не были.
На следующий день после атаки, 7 сентября, атакующий вернул примерно 3 400 BTC после взаимодействия с Blockstream через сообщения в блокчейне Биткоина. Оставшиеся примерно 600 BTC были удержаны. Blockstream отказалась выплачивать вознаграждение в размере 10% за возврат оставшихся средств. «Мы не станем участником прецедента, при котором разработчики открытого ПО, созданного на благо биткоин-сообщества, должны платить выкуп, намного превышающий их экономическое участие», — заявили в компании.
Восстановление резервов ускорилось в конце октября. По данным блокчейна, 27 октября в кошелёк федерации поступило 2,5 BTC, 28 октября — 50 BTC, а 2 ноября — ещё 300 BTC и 250 BTC, что закрыло дефицит примерно в 602,5 BTC. Член совета Liquid Federation Самсон Моу сообщил, что источником средств выступила Blockstream, однако федерация не опубликовала детальную разбивку финансирования. На 3 ноября записи показывали около 4 270 BTC, обеспечивающих эквивалентное количество LBTC.
Обмен BTC на LBTC и обратно через отдельных провайдеров был возобновлён несколько недель назад. SideSwap открыла конвертацию 20 октября с комиссией 0,1%, однако выплаты производятся из собственного биткоин-кошелька платформы и могут попадать в очередь при нехватке ликвидности. Прямые выводы через федерацию по-прежнему ограничены дополнительными проверками безопасности, сроки их полного возобновления не называются.
Федерация Liquid сообщила, что готовит изменения в структуре управления и надзора, а также дополнительные технические и операционные меры защиты. Подробности обещаны в ближайшие недели. Ранее Blockstream выпустила обновление Elements v23.3.4, устранившее уязвимость, и инициировала независимую проверку безопасности.
