Liquid Neustart nach dem Exploit: Transaktionen laufen wieder, doch Peg-outs bleiben deaktiviert und die Bitcoin-Reserve muss wachsen.
Die Liquid-Sidechain von Blockstream hat am Donnerstag die Blockproduktion und wenig später die allgemeinen Transaktionen wieder aufgenommen – rund vier Tage nachdem ein Angreifer knapp 4.000 BTC aus der Federation-Wallet des Netzwerks abgezogen hatte. Der Neustart betrifft alle Nutzer von L-BTC und Stablecoins auf Liquid, doch von Normalbetrieb kann noch keine Rede sein: Peg-outs bleiben deaktiviert, während Blockstream versucht, die BTC-zu-L-BTC-Reserve wieder aufzubauen.
Kontextualisierung: Der Exploit hinter dem Neustart
Der Vorfall begann am 6. September, als sich als White-Hat-Hacker ausgebende Angreifer rund 4.000 BTC im Wert von damals etwa 320 Millionen US-Dollar aus der Liquid-Federation-Wallet abhoben – etwa 95 Prozent des dort gehaltenen Guthabens von rund 4.200 BTC. Genutzt wurde dabei der Peg-out-Autorisierungsschlüssel von SideSwap, der laut Blockstream nie gestohlen wurde. Ursache war stattdessen ein Fehler in Elements, der Open-Source-Software hinter Liquid, der die Erzeugung ungültiger L-BTC ermöglichte, die anschließend über den regulären Weg eingelöst werden konnten, als wären sie vollständig gedeckt. Mehr zur Rückgewinnung der 3.400 BTC und den ausgesetzten Peg-Diensten findet sich in der bisherigen Berichterstattung.
Von den entwendeten Mitteln zahlte der Angreifer 3.400 BTC zurück, behielt jedoch rund 598,5 BTC als selbstdeklarierte Belohnung von 10 Prozent ein. Rechnerisch entspricht das einer Rückgabequote von etwa 85 Prozent der ursprünglich abgezogenen BTC – eine Größe, die sich nicht mit einer belegten Deckungsquote aller ausgegebenen L-BTC-Token verwechseln lässt, da der Primärtext keine Gesamtmenge im Umlauf befindlicher Token nennt.
Transaktionen laufen, Einlösbarkeit bleibt eingeschränkt
Laut einem Statusupdate von Liquid um 10:00 UTC wurde die Blockproduktion zunächst „ohne Transaktionen“ wieder aufgenommen, während das Team die Stabilisierung überwachte. Bridge- und Functionary-Nodes verfügen demnach über die erforderlichen Software-Patches, und die Functionary-Nodes signieren und validieren Blöcke wieder wie vorgesehen. Details zur zugrunde liegenden Sicherheitslücke in der Reservebesicherung zeigen, wie tief der Fehler in der Range-Proof-Verifikation saß.
Nachdem Blockstream eine On-Chain-Notiz unterzeichnet hatte, in der es hieß: „Die Bridge-Nodes sind gepatcht, die Gelder können sicher zurückgegeben werden“, zahlten die Beteiligten die 3.400 BTC zurück. Ein Notfall-Update, Elements v23.3.4, härtete zuvor die für Range-Proofs verwendeten Cache-Schlüssel. Rund 10 Stunden nach dem ersten Update bestätigte Liquid dann die Wiederaufnahme allgemeiner Transaktionen – Peg-outs blieben davon ausdrücklich ausgenommen.
1:1-Zusage ohne veröffentlichten Schließungsplan
Blockstream-Gründer und CEO Adam Back versicherte Token-Inhabern, dass die L-BTC-Bindung eins zu eins beibehalten wird, sodass Nutzer ihre Token gegen dieselbe Menge Bitcoin auf der Basisschicht einlösen können sollen. „Keine Panikverkäufe im OTC“, schrieb Back auf X. Wie die verbleibende Lücke von rund 600 BTC geschlossen werden soll, sobald Peg-outs wieder öffnen, ließ er offen – ebenso wie einen konkreten Zeitplan für die Wiederherstellung der Peg-in- und Peg-out-Dienste.
Ausblick: Vollständige Wiederaufnahme bleibt offen
Für Halter von L-BTC bedeutet das: Transaktionen sind wieder möglich, doch die Einlösbarkeit gegen Bitcoin auf der Basisschicht hängt weiterhin an einer Reserve, die laut Liquid noch im Wiederaufbau ist. Solange kein Zeitplan für die Öffnung der Peg-outs vorliegt, bleibt unklar, wie und wann die verbliebene Lücke tatsächlich geschlossen wird.
Kryptowährungen und tokenisierte Vermögenswerte wie L-BTC sind mit Risiken verbunden, die sich in Fällen wie diesem konkret zeigen. Anleger sollten eigene Recherchen anstellen und gegebenenfalls qualifizierten Rat einholen, bevor sie Positionen in Bitcoin-gestützten Token auf- oder abbauen.
next