Bitcoin tabanlı ödeme ve mutabakat ağı Liquid Network, yaklaşık 4 bin Bitcoin’in (BTC) federasyon cüzdanından çekilmesiyle büyük bir güvenlik olayıyla karşı karşıya kaldı. Olay sırasında çekilen kripto varlıkların değerinin yaklaşık 320 milyon dolar olduğu açıklandı.
Liquid Network tarafından yapılan açıklamaya göre, olaydan önce federasyon cüzdanında yaklaşık 4 bin 200 BTC bulunuyordu. Bunun yaklaşık yüzde 95’ine karşılık gelen 4 bin BTC’nin ağ dışına çıkarılması üzerine yeni işlemler geçici olarak durduruldu.
Kendilerini “beyaz şapkalı hacker” olarak tanıttılar
Olayın ardından Bitcoin blok zincirine bırakılan mesajda işlemi gerçekleştiren taraf kendisini “whitehat”, yani beyaz şapkalı hacker olarak tanımladı ve iletişime geçilmesini istedi.
Liquid Network de ilk açıklamasında fonları çeken kişileri “beyaz şapkalı olduğu öne sürülen hackerlar” şeklinde tanımladı. Ancak olayın ilk aşamasında fonların geri verileceğine ilişkin kesin bir güvence bulunmuyordu.
Saldırganlardan fonları iade etme mesajı
7 Eylül’de ortaya çıkan yeni bilgiler, olayın seyrini değiştirdi.
Fonları kontrol eden tarafın, sistemdeki güvenlik açığının giderilmesinin ardından yaklaşık 4 bin BTC’nin büyük bölümünü geri göndermeye hazır olduğunu Blockstream’e bildirdiği aktarıldı.
Taraflar Bitcoin ağı üzerindeki mesajlar ve şifreli iletişim yöntemleriyle temas kurarken, hackerların önce güvenlik açığının tüm düğümlerde giderilmesini istediği belirtildi. Blockstream daha sonra köprü düğümlerinin güncellendiğini ve fonların güvenli şekilde geri gönderilebileceğini bildirdi. Haberin yayımlandığı sırada Bitcoinlerin saldırganın adresinde bulunduğu belirtiliyordu.
4 bin L-BTC yazılım hatasıyla oluşturulmuş olabilir
Olayın teknik ayrıntıları da ortaya çıkmaya başladı. SideSwap tarafından yapılan açıklamaya göre yaklaşık 4 bin L-BTC, sistemdeki bir yazılım hatasından yararlanılarak oluşturuldu.
Bu L-BTC’ler daha sonra SideSwap’ın peg-out hizmeti üzerinden Bitcoin’e çevrilmek istendi. Geçerli bir yetkilendirme işleminin ardından Liquid Federation, ilgili Bitcoin adresine yaklaşık 3 bin 996 BTC gönderdi.
SideSwap, kendi sistemlerinin ve para çekme işlemlerinde kullanılan Peg-out Authorization Key’in (PAK) ele geçirilmediğini açıkladı. İlk incelemeler sorunun Liquid altyapısında kullanılan Elements yazılımındaki bir açıkla bağlantılı olduğuna işaret ediyor.
Liquid Network işlemleri durdurdu
Güvenlik olayı sonrasında Liquid Network’te ağ faaliyetleri geçici olarak durduruldu. Köprü düğümleri devre dışı bırakılırken, bazı platformlarda L-BTC yatırma ve çekme işlemleri de askıya alındı.
Liquid, kullanıcı cüzdanlarının durumdan etkilenebileceğini belirterek yaşanan aksaklık nedeniyle özür diledi. Bitcoin’in ana ağı ise olaydan etkilenmedi; güvenlik problemi Liquid yan zincirindeki altyapıyla sınırlı kaldı.
Kripto varlık güvenliği yeniden gündemde
Yaklaşık 320 milyon dolarlık olay, kripto para sektöründe saklama sistemleri, köprü mekanizmaları ve yan zincirlerin güvenliğine ilişkin tartışmaları yeniden gündeme taşıdı.
Özellikle büyük miktarda kripto varlığın belirli köprü ve federasyon yapılarında tutulması, yazılım hatalarının mali etkisini büyütebiliyor. Liquid olayında fonların geri gönderilmesi ihtimali ortaya çıkmış olsa da, güvenlik açığının nasıl oluştuğuna ilişkin teknik incelemeler devam ediyor.
