Liquid Network, Bitcoin Saldırısının Ardından Yeniden Açıldı

Liquid Network yeniden çalışmaya başladı, ancak şimdilik yalnızca kısmen. Bitcoin yan zinciri, bilgisayar korsanlarının ana cüzdandan yaklaşık 320 milyon dolar değerinde Bitcoin çekmesinden birkaç gün sonra, 10 Eylül’de yeniden blok üretmeye başladı. Ancak kullanıcılar hâlâ fonlarını transfer edemiyor veya çekemiyor. Liquid, rezervlerinin yeniden tamamen güvence altında olduğundan emin olana kadar bu durum değişmeyecek.

Neler Çalışıyor, Neler Hâlâ Devre Dışı?

Blok üretimi, ağın kalp atışı olarak düşünülebilir. Bu, işlemlerin onaylanmasını ve kaydedilmesini sağlayan temel süreçtir. Sistemin bu bölümü yeniden çalışıyor.

Ancak Bitcoin’in sisteme gönderilmesini veya sistemden çıkarılmasını sağlayan “peg” işlemleri hâlâ devre dışı. Kullanıcıların gerçek Bitcoin kilitlemesi karşılığında Liquid tarafından oluşturulan L-BTC tokeni de kullanılamıyor.

Bu geçici kısıtlama bilinçli olarak uygulanıyor. Liquid ekibi, para transferlerine yeniden izin vermeden önce her cüzdan bakiyesinin rezervlerde bulunan gerçek varlıklarla eşleştiğinden emin olmak istiyor. Önce blok üretiminin, ardından transferlerin başlatılması dikkatli ve planlı bir sürecin parçası. Bu durum, sistemin yalnızca kısmen onarıldığı anlamına gelmiyor.

Saldırı Nasıl Gerçekleştirildi?

Liquid, kullanıcıların gerçek Bitcoin kilitleyerek aynı miktarda L-BTC oluşturmasına imkân veren bir sistem kullanıyor. Bu L-BTC daha sonra alınıp satılabiliyor veya yeniden gerçek Bitcoin’e dönüştürülebiliyor. Bitcoin’e dönüş işlemi sırasında kullanıcının söz konusu varlığı geri almaya hakkı olduğunu kanıtlaması gerekiyor.

Saldırganlar, bu kanıtların kontrol edilme biçiminde bir güvenlik açığı buldu. Sistemi kandırarak karşılığında gerçek Bitcoin bulunmayan L-BTC tokenleri oluşturdular. Ardından bu tokenleri, Liquid’in normalde para çekme işlemleri için güvendiği SideSwap platformu üzerinden gerçek Bitcoin’e çevirdiler.

Sistem sahte L-BTC tokenlerini geçerli kabul ettiği için Bitcoin’lerin cüzdandan çıkmasına izin verdi.

Toplamda yaklaşık 3.996 BTC federasyon cüzdanından çıkarıldı. Böylece cüzdandaki rezerv miktarı yaklaşık 4.205 BTC’den yalnızca 202 BTC’ye düştü.

Saldırganlar İyi Niyetli Olduklarını Söylüyor

Saldırıyı gerçekleştiren kişiler kimliklerini veya yaptıkları işlemleri gizlemeye çalışmadı. Blok zinciri üzerinde bir mesaj bırakarak Liquid’den önce tüm düğümlerdeki güvenlik açığını kapatmasını istediler. Ayrıca düzeltmenin uygulandığı doğrulandıktan sonra fonları iade edeceklerini belirttiler.

Liquid daha sonra bu kişileri “white hat”, yani beyaz şapkalı aktörler olarak tanımladı. Bu ifade, güvenlik açıklarından kazanç sağlamak yerine bu açıkları ortaya çıkardığını iddia eden bilgisayar korsanları için kullanılıyor. Ancak ağ yönetimi, bu kişilerin izinsiz token oluşturduğunu da özellikle vurguladı.

Saldırganların verdiği söz şimdiye kadar büyük ölçüde yerine getirildi. Blockstream, güvenlik yamasının uygulandığını doğruladıktan sonra saldırganlar 3.400 BTC’yi iade etti. Bu miktar, çekilen toplam Bitcoin’in yaklaşık yüzde 85’ine karşılık geliyor.

Ancak değeri onlarca milyon doları bulan 598,5 BTC hâlâ Liquid’in kontrolü dışında bulunuyor.

Güvenlik Açığı Nasıl Kapatıldı?

Liquid, blok üretimini yeniden başlatmadan önce Elements v23.3.4 adlı acil yazılım güncellemesini yayımladı. Güncelleme, sistemin işlem kanıtlarını önbelleğe alma ve doğrulama biçimini değiştiriyor. Böylece sahte L-BTC tokenlerinin onaylanmasına yol açan güvenlik açığı kapatılıyor.

Liquid tek bir şirket tarafından yönetilmiyor. Ağ, zaman içinde dönüşümlü olarak görev yapan “functionary” adı verilen düğüm operatörlerinden oluşan bir federasyon tarafından denetleniyor.

Bir Bitcoin işleminin onaylanabilmesi için ağdaki 15 functionary operatöründen en az 11’inin birlikte onay vermesi gerekiyor. Blok üretiminin güvenli bir şekilde yeniden başlatılabilmesi için bu düğümlerin tamamının güncellenmesi gerekti.

Bu Saldırı Neden Yalnızca Liquid’i İlgilendirmiyor?

Liquid küçük bir yan proje değil. Blockstream, sistemi 2018 yılında kripto para borsalarının işlemleri Bitcoin’in ana ağından daha hızlı tamamlayabilmesi amacıyla geliştirdi.

Bugün 80’den fazla kripto para borsası, finans kuruluşu ve altyapı sağlayıcısı Liquid’i ortak bir takas ve mutabakat katmanı olarak kullanıyor.

Bu nedenle sistemin merkezindeki bir güvenlik açığı yalnızca Liquid kullanıcılarını etkilemiyor. L-BTC’yi doğrudan Bitcoin tutmak kadar güvenli kabul eden tüm borsalar ve finans kuruluşları da bu olayın oluşturduğu risklerle karşı karşıya kalıyor.