Хакеры атаковали Liquid Network, похитили $320 миллионов и оставили себе около $47 миллионов

Комиссия за обнаружение ошибки оказалась равна 15%.

Сайдчейн биткойна Liquid Network, разработанный Blockstream, пережил крупную атаку: злоумышленники вывели около 4000 биткоинов стоимостью примерно $320 миллионов. Позднее хакеры вернули 3400 биткоинов, оставив себе 598.5 биткоинов — около $47 миллионов.

Похитить биткоины удалось благодаря ошибке в ПО Liquid Network: она позволила части узлов принять транзакцию с выпуском необеспеченных Liquid Bitcoin, после чего эти монеты удалось вывести обратно в основную сеть Bitcoin.

Часть узлов Liquid отвергла вредоносную транзакцию, но узлы, работавшие на уязвимой версии ПО, одобрили перевод средств. В результате созданные Liquid Bitcoin прошли через SideSwap, после чего федерация перечислила около 4 тысяч настоящих биткойнов на адрес атакующего.

В Liquid Network подчеркнули, что ключ авторизации SideSwap и ключи федерации не были похищены: подписанты выполнили стандартную процедуру, поскольку программное обеспечение считало вывод средств легитимным.

Идентифицировать хакеров пока не удалось, для общения с Liquid Network они использовали сообщения OP_RETURN, встроенные в транзакции биткойна. Часть похищенных средств хакеры оставили себе в качестве «вознаграждения за найденную уязвимость».