Peretas Liquid Mengembalikan 3.400 Bitcoin yang Diambil lewat Bug Elements, Masih Memegang BTC Senilai $47 Juta

Pihak yang mengambil hampir 4.000 bitcoin dari Liquid Network pada Minggu, 6 September, mengembalikan 3.400 bitcoin pada hari berikutnya, berdasarkan catatan publik Bitcoin. Sekitar 598,5 bitcoin masih belum dikembalikan.

Liquid merupakan sidechain Bitcoin yang menyimpan bitcoin asli sebagai pendukung token bernama L-BTC. Jaringan tersebut masih dihentikan sementara, sehingga pemegang token belum dapat mengubahnya kembali menjadi bitcoin.

Sebanyak 3.400 bitcoin dikirim ke alamat Liquid Federation pada pukul 16:09 UTC tanggal 7 September, atau sekitar 85% dari jumlah yang diambil. Federation merupakan kelompok operator yang menyimpan bitcoin sebagai pendukung L-BTC.

Sisa 598,5 bitcoin bukan merupakan pembayaran terpisah. Jumlah tersebut adalah uang kembalian dari transaksi yang sama, yang dikirim kembali ke alamat tempat dana tersebut berasal. Bitcoin tersebut masih berada di sana pada 8 September, berdasarkan block explorer mempool.space.

Baik Blockstream maupun Liquid Network belum menyampaikan secara terbuka apakah bitcoin tersebut merupakan bagian dari sebuah kesepakatan.

Hampir 4.000 Bitcoin Diambil

Dalam sebuah pemberitahuan insiden, Blockstream, perusahaan yang menyediakan teknologi untuk Liquid, mengatakan bahwa peretas yang mengklaim sebagai white hat mengambil sekitar 4.000 bitcoin dari federation wallet. Nilainya diperkirakan sekitar $320 juta pada saat itu.

Penarikan tersebut mengambil sekitar 95% dari cadangan bitcoin Liquid yang dilaporkan, yang sebelumnya berada di sekitar 4.200 bitcoin.

Dengan harga bitcoin sekitar $78.000 pada 8 September, 3.400 bitcoin bernilai sekitar $265 juta, sementara 598,5 bitcoin bernilai sekitar $47 juta.

Bug pada Elements

Bitcoin tersebut dikirim menggunakan SideSwap's Peg-out Authorization Key, salah satu kunci yang digunakan untuk melepaskan dana dari sidechain.

Blockstream mengatakan bahwa kunci tersebut “tidak dikompromikan, begitu pula kunci lainnya”.

Proses peg-out menghancurkan L-BTC pada sidechain dan melepaskan bitcoin yang sesuai pada jaringan utama Bitcoin.

SideSwap mengatakan sebuah bug pada Elements telah membuat L-BTC yang digunakan dalam penarikan tersebut. Elements merupakan perangkat lunak yang menjalankan Liquid.

SideSwap juga mengatakan bahwa sistem maupun kuncinya tidak dikompromikan.

Liquid tidak menjelaskan kelemahan tersebut ketika mengumumkan insiden, dan halaman insiden Blockstream juga tidak menjelaskan celah tersebut.

Komunikasi Melalui Blockchain Bitcoin

Kedua pihak kemudian berkomunikasi secara terbuka melalui blockchain Bitcoin.

Sebuah pesan awal yang ditulis ke dalam transaksi berbunyi, “we are whitehats. contact us on chain”.

Kelompok tersebut meminta agar celah diperbaiki dan setiap node mendapatkan patch sebelum mereka mengembalikan dana.

Blockstream kemudian membalas dengan pesan yang ditandatangani yang menyatakan bahwa bridge node mereka telah mendapatkan patch dan dana aman untuk dikembalikan.

3.400 Bitcoin Dikembalikan

Sebuah transaksi yang dikonfirmasi pada pukul 15:31 UTC tanggal 7 September mengirimkan 1.000 satoshi, atau 0,00001 bitcoin, ke alamat federation, disertai pesan terenkripsi PGP yang ditulis ke dalamnya.

Isi pesan tersebut tidak dipublikasikan.

Sebanyak 3.400 bitcoin kemudian dikirim dan dikonfirmasi 38 menit setelah transaksi tersebut.

Liquid Bersiap Melakukan Restart

Blockstream mengatakan perangkat lunak yang telah diperbarui sudah diterapkan dan anggota federation sedang mempersiapkan restart secara terkoordinasi.

Samson Mow, CEO JAN3 dan mantan eksekutif Blockstream, menyebut jumlah yang belum dikembalikan sekitar 598 bitcoin. Ia mengatakan Blockstream masih berkomunikasi dengan kelompok tersebut.

Pada 8 September, halaman status Blockstream masih mencantumkan insiden tersebut sebagai aktif dengan public bridge node mereka dalam kondisi offline, dan belum diperbarui untuk menyebutkan pengembalian dana.

Halaman tersebut juga tidak menyebutkan berapa banyak bitcoin yang sekarang menjadi pendukung L-BTC.

Peringatan untuk Pengguna Liquid

Mow meminta pengguna untuk tidak mengirim bitcoin ke alamat peg-in Liquid, yaitu alamat deposit yang digunakan untuk membuat L-BTC, hingga restart dikonfirmasi.

Aset lain yang diterbitkan di Liquid, termasuk USDT dan DePix, tidak terdampak, menurut Blockstream.

Kontroversi Klaim White Hat

Tidak semua pihak menerima penyebutan kelompok tersebut sebagai white hat.

Charles Guillemet, chief technology officer di Ledger, menolak label tersebut.

Ia mengatakan bahwa jika sekitar 600 bitcoin yang masih dikuasai merupakan imbalan yang dinegosiasikan melalui pesan terenkripsi di blockchain, maka pengaturan tersebut lebih terlihat seperti pemerasan.