SECURITY
自称ホワイトハットが、脆弱性修正後に4,000BTCの「大部分」を返還すると約束
ハッカーがLiquid Networkを支えるフェデレーションウォレットから、約3億2000万ドル相当のビットコインを流出させました。犯人らは自らを善玉だと主張しています。
Blockstreamが開発し、取引所などの金融機関で利用されているビットコインのサイドチェーン「Liquid」は、日曜日にX上に投稿し、フェデレーションウォレットから約4,000BTCが引き出されたことを明らかにしました。同社はこれを慎重に「自称ホワイトハットハッカー」によるものだと表現しています。
今回の事件の前、このウォレットには約4,200BTCが保有されていました。つまり犯行の主体は、保有資産の約95%を持ち去ったことになります。
Liquidはフェデレーションメンバーが調査を行う間、ブリッジノードを無効化し、各取引所に対してL-BTCの入出金を一時停止するよう要請しました。
一方、今回の引き出しの実行者らは、これが一般的な暗号資産窃盗とは異なるものであることを示そうとしているようです。
ビットコインの取引に埋め込まれたメッセージの中で、彼らは自らを「ホワイトハット」と名乗り、Blockstreamに連絡を取るよう求めました。Blockstreamはオンチェーンでセキュリティチームの連絡先を伝える形で応答し、Liquidによれば、その後両者のやり取りは暗号化された通信チャネルへと移行したとのことです。
今回の実行者らは、脆弱性が修正され、Liquidのノードが更新され次第、ビットコインの「大部分」を返還すると述べています。
オンチェーンのメッセージには次のように書かれていました。「まずバグを修正してください。現在、最新のコミットではチェーンがリスクにさらされています。すべてのノードが確実にパッチ適用されるようにしてください。修正が確認できた後、資金を安全に返還します」
フェデレーションウォレットのほぼ全額をどのようにして移動させたのか、その正確な手口については現在も調査が続いています。
Liquidによると、このBTCはSideSwapを通じ、Peg-out Authorization Key(PAK)を使って引き出されたものの、SideSwapの鍵や他のPAKが侵害された形跡はないとのことです。PAKは、フェデレーションのファンクショナリー(運営参加者)がペグアウト先として認可された宛先を識別するための仕組みで、ファンクショナリーが共同でそれに対応するビットコインを解放します。
ここで重要な疑問が残ります。関連するPAKが侵害されていないにもかかわらず、一見正規に認可されたはずのSideSwapのペグアウトが、なぜフェデレーションウォレットのほぼ全額を空にする結果になったのかという点です。
ステーブルコインを含む、Liquid上で発行されている他の資産は直接的な影響を受けていないようで、ビットコインネットワーク自体にも影響はありませんでした。
今回の事件は、何かにビットコインを組み込んだからといって、それがビットコイン本来のセキュリティモデルを備えるわけではないことを改めて示しています。Liquidはフェデレーション型のサイドチェーンであり、L-BTCを裏付ける資産はビットコインのマイナーによって保護されるのではなく、メンバーが共同で管理する仕組みになっています。
現時点では、その資金は「セキュリティ研究を行っている」と主張する人物らの手中にあるようです。4,000BTCすべてが最終的に無事戻ってくるかどうかによって、この主張に対する世間の受け止め方がどれほど寛容になるかが決まるかもしれません。®
