Blockstream’in Liquid Network’ü üzerinde çalışan, birçok borsa ve varlık yöneticisi tarafından kullanılan Bitcoin tabanlı bir settlement sidechain olan Liquid’in federasyon cüzdanından 6 Eylül’de yaklaşık 4.000 Bitcoin (o dönemde yaklaşık 320 milyon dolar) çekildi. Söz konusu cüzdanın toplam bakiyesi yaklaşık 4.200 BTC seviyesindeydi; bu da rezervin neredeyse %95’inin tek seferde çekildiği anlamına geliyor. Ancak zincir üstü veriler, herhangi bir özel anahtarın çalınmadığını ve imzalama donanımında bir güvenlik ihlali yaşanmadığını gösteriyor.
Liquid, Bitcoin’in “pegged” olarak giriş-çıkış yaptığı bir sidechain olarak çalışıyor. Gerçek BTC, federasyonun kontrolündeki bir cüzdana yatırılıyor ve karşılığında aynı miktarda L-BTC token’ı sidechain üzerinde üretiliyor. 1 L-BTC’nin 1 BTC’ye eşit olduğu vaadi, federasyonun bire bir teminat oranını korumasına dayanıyor. Ancak bu olayda, sistem dışarıdan saldırıya uğramadan, içeriden bir açık nedeniyle bozuldu.
Ağın, SideSwap’ın ve güvenlik araştırmacılarının açıklamalarına göre, Liquid zincirinin temelini oluşturan açık kaynaklı Elements yazılımındaki bir hata, karşılığında gerçek Bitcoin olmadan 4.000 L-BTC’lik bir token grubunun üretilmesine yol açtı. Yazılım açısından bu token’lar geçerli görünüyordu; imzalayan her federasyon üyesi için teminatsız L-BTC, teminatlı olanla aynı şekilde algılandı. Token’ları elinde bulunduran kişi, bu grubu L-BTC’yi ana zincirdeki Bitcoin’e dönüştüren SideSwap’ın peg-out servisine gönderdi. İşlem, tam da bu tür transferleri kontrol etmek için tasarlanmış Peg-out Authorization Key ile onaylandı. Güvenlik firması Bitslab’e göre, federasyondaki 15 üyeden en az 11’i işlemi imzaladı. Sonuç olarak federasyon, yaklaşık 3.996 BTC’yi ana zincire aktardı ve karşılığında teminatsız L-BTC yakıldı. Gerçek Bitcoin sistemden çıktı; ödemede kullanılan token’ların ise arkasında hiçbir teminat yoktu.
Bu olaydan önce, her L-BTC federasyon kasasında karşılığı olan, geri alınabilir bir Bitcoin’i temsil ediyordu. Açık nedeniyle, 4.000 token yetkili bir kanal üzerinden teminatsız şekilde çekildi ve kasayı korumakla görevli 15 kişiden 11’i bu işleme onay verdi. Güvenlik, fiziksel rezervde değil, yazılımın verdiği kararda aranıyordu ve bu karar protokol seviyesinde hatalıydı.
Olayı manşetlere taşıyan asıl unsur ise, işlemi gerçekleştirenlerin kendilerini ve ağın da onları “white-hat” hacker olarak tanımlaması oldu. Söz konusu kişiler, Blockstream’in yayımladığı anahtarla doğrulanan PGP imzalı mesajlar ve zincir üstü OP_RETURN mesajları aracılığıyla, şirketten hatanın düzeltilmesini ve tüm düğümlerin güncellenmesini talep etti. Blockstream ise zincir üstünden, “son commit’te zincir risk altında” mesajı göndererek önce düzeltmenin yapılmasını istedi. Ardından, 965.950 numaralı blokta, çekilen BTC’lerin yaklaşık %85’ine denk gelen 3.400 BTC federasyona iade edildi; 598,5 BTC (yaklaşık 47 milyon dolar) ise ellerinde kaldı.
Burada önemli olan, “white-hat” tanımının öznel olması. Zincir üstü veriler, bir güvenlik açığının kullanıldığını ve elde edilen miktarın yaklaşık %15’inin hâlâ ilgili kişinin kontrolünde olduğunu gösteriyor. Transferin kendisi bir eylem; niyetin ne olduğu ise tartışmalı. Kendi ödülünü 47 milyon dolar olarak belirleyen bir aktörün motivasyonu, süren bir pazarlığın parçası olarak değerlendiriliyor. Sadece kendi beyanlarına dayanarak bu kişileri “white-hat” olarak nitelendirmek, onları doğrudan suçlu ilan etmek kadar hatalı olurdu. Etiket tartışmalı; işlem ise net.
Bireysel yatırımcılar için çıkarılacak ders, yalnızca bir sidechain’e değil, bir kategoriye dair. L-BTC, wrapped token veya pegged stablecoin gibi varlıklar, “1:1” pazarlama söylemi ne kadar sorunsuz görünse de, teminatı kontrol eden kurumun inisiyatifine bağlı bir alacak senedidir. Olayın ardından borsalar L-BTC yatırma ve çekme işlemlerini hızla durdurdu. Nihai çözüm, Blockstream’in tüm düğümleri güncellemesi ve kalan L-BTC’nin yeniden bire bir teminatla desteklendiğinin kanıtlanmasına bağlı. Sidechain üzerindeki diğer varlıklar — USDT ve tokenlaştırılmış gerçek dünya varlıkları — bu açıktan etkilenmedi; çünkü hata yalnızca Bitcoin rezervini ilgilendiriyordu.
“White-hat, her şey yolunda” yorumunun geçerli olabilmesi için, Elements yazılımındaki açığın kamuya açık bir şekilde analiz edilmesi ve elde tutulan 598,5 BTC’nin iade edilmesi veya başka bir şekilde telafi edilmesi gerekiyor. Bu kanıtlar ortaya konulana kadar kesin olan tek şey, Bitcoin’in kendisinin etkilenmediği, hiçbir anahtarın kırılmadığı ve pegged bir varlığın içeriden teminatını kaybettiği sürede birinin çoğunu iade ederek 47 milyon dolar elde ettiği.
Bu içerik hazırlanırken faydalanılan kaynaklar: ainvest.com
