Liquid Networkのハッカー、盗んだビットコイン3億2000万ドル相当の大半を返還

Liquid Networkでは、ネットワークを支えるウォレットから約3億2000万ドル相当のビットコインが流出しました。この資金流出の実行者は、自らを助けるために行ったのだと主張しています。

Reutersの報道によると、9月6日にLiquidのフェデレーションウォレットから約4,000BTCが引き出され、保有していたおよそ4,200BTCの準備金のほぼ全額が失われました。これを受けて運営側はネットワークを一時停止しました。

今回の事件は、従来型の秘密鍵盗難とは異なります。LiquidによればLiquidのPeg-out Authorization Key(PAK)が不正な引き出しに使用されたものの、この鍵自体が漏洩したわけではないとのことです。正確な脆弱性の内容については、まだ公には説明されていません。

引き出しを行った人物たちは自らをホワイトハッカーと名乗り、脆弱性が修正され次第、資金の大部分を返還すると表明しました。Binanceのレポートによると、盗まれた暗号資産のうち3,400BTCはすでに返還されており、残る600BTCは未返還のままです。

不正な引き出しが行われた経緯

ビットコインがどのように流出したのかを理解するには、まずLiquidとSideSwapがどのようなサービスかを把握しておく必要があります。

Liquidは、ユーザーがビットコインをロックしL-BTCを受け取れるフェデレーション型のビットコインサイドチェーンです。L-BTCはフェデレーションウォレットに保有されるビットコインによって1対1で裏付けられることを前提としています。ネットワークを通じてL-BTCをビットコインに戻す処理はペグアウトと呼ばれます。

SideSwapはLiquidユーザー向けにウォレットおよびスワップサービスを提供していますが、フェデレーション自体やペグアウトの仕組みを運営しているわけではありません。

LiquidのX投稿によると、攻撃者はPeg-out Authorization Key(PAK)そのものを漏洩させることなく、この鍵を使って不正な資金移転を開始したとのことです。

本来この鍵は、条件が満たされた場合にのみ資金のロックを解除する仕組みになっていたはずですが、今回の攻撃ではそれにもかかわらず資金移動が許可されてしまった点が異例です。

Liquidの運営側は現在この事件を調査中で、技術的な詳細の多くはまだ判明していません。Tetherを含む、Liquid上で発行されているその他の資産には影響がなかったと報告されています。Blockstreamおよびフェデレーションメンバーがセキュリティの強化、事件に伴うチェーン分裂の解消、安全な再稼働に向けた準備を進める間、ネットワークは引き続き停止されています。

攻撃の実行者はまだ特定されていません。彼らは暗号化された通信の中で自らを「ホワイトハット」と称していました。

もっとも、そのホワイトハットという主張には依然として疑問符が付きます。通常、ホワイトハットとして活動するセキュリティ研究者は、システムをテストする許可を得た上で発見内容を報告するものです。一方、今回の攻撃者たちは稼働中のシステムを許可なく突いて、そのビットコインを移動させています。資金の大部分を返還した後もなお、彼らが主張する動機が本当に正当なものだったのかは分かっていません。

より大きなリスクは、ユーザーの目に見えない部分にある

ユーザーにとって今回の事件は、暗号資産の安全な保管が単に秘密鍵を守るだけの問題ではないことを改めて示すものとなりました。認可用の鍵そのものが無傷であっても、システムに欠陥があれば、本来承認されるはずのない操作をその制御機構が承認してしまい、深刻な損失につながる可能性があります。

これが重要なのは、暗号資産のユーザーが資産をネットワーク間で移動させる際に、取引所やサイドチェーン、ブリッジといったサービスへの依存をますます強めているためです。こうしたシステムに不具合が生じると、ユーザー自身のウォレットや認証情報が一切侵害されていなくても、資金へのアクセスを失ったり、引き出しが凍結されたりする恐れがあります。

この教訓は暗号資産に限った話ではありません。取引プロセスの他の部分に欠陥があり、それによって正当な制御機構が不正なリクエストを承認してしまうようであれば、認可用の鍵を保護するだけでは不十分だということです。企業は認可ワークフロー全体をテストし、異常な取引を監視し、通常より大きな金額の送金には上限を設け、影響を受けたシステムを迅速に停止できる緊急対応の仕組みを維持しておく必要があります。

当面のところ、ユーザーはネットワークが安全に再稼働したことが確認されるまで、Liquidのペグインアドレスにビットコインを送金すべきではありません。また、Liquidによる技術的な説明や、L-BTCが再び全額裏付けされていることの確認、未返還のままとなっている約598BTCに関する続報にも注意を払う必要があります。

関連記事: ブロックチェーン基盤自体の欠陥だけでなく、暗号資産ユーザーはそれ以外のリスクにも直面しています。 悪意のあるブラウザ拡張機能が信頼できるウォレットになりすまし、シードフレーズや秘密鍵を盗み取るケースもあります。