In questo articolo Indice dei contenuti 2 sezioni
Una falla nel software ha permesso di far uscire circa 4.000 Bitcoin dalla rete Liquid, la sidechain sviluppata da Blockstream, per un valore che all’epoca superava i 300 milioni di euro. Il 6 settembre i responsabili del progetto hanno comunicato che dal wallet federato, che ne custodiva circa 4.200, era sparito quasi tutto: si parla del 95% dei fondi. La reazione è stata immediata, con la disattivazione dei nodi ponte e la richiesta agli exchange di sospendere temporaneamente depositi e prelievi di L-BTC mentre si cercava di capire cosa fosse successo.
Va chiarito subito un punto che rischia di generare confusione. Liquid non è Bitcoin. Le due reti sono collegate, ma restano separate. Liquid è una sidechain pensata per spostare asset legati a Bitcoin in modo più rapido e con qualche funzione aggiuntiva. Il meccanismo è semplice nella teoria: i BTC vengono bloccati sulla rete principale e, in cambio, su Liquid viene emessa una quantità equivalente di L-BTC. Il rapporto deve essere di uno a uno, ogni L-BTC corrisponde a un BTC reale immobilizzato altrove. Ecco perché la federazione deve custodire una riserva.
Come sono usciti quei 4.000 Bitcoin
Il ritorno da Liquid a Bitcoin passa da un’operazione chiamata peg-out, che possono avviare solo i membri della Federazione. Un utente si appoggia a un servizio autorizzato, consegna i suoi L-BTC, questi vengono tolti dalla circolazione e la federazione libera i BTC corrispondenti. In questo caso un cliente ha inviato 4.000 L-BTC a SideSwap, il servizio ha processato la richiesta come valida e la federazione ha finito per liberare circa 3.996 BTC.
Il guaio, però, stava a monte. Secondo la ricostruzione diffusa da SideSwap, il problema non era nel prelievo ma nei L-BTC arrivati fino a lì. La piattaforma sostiene che Blockstream le abbia comunicato che quelle 4.000 unità erano state create sfruttando un bug di Elements, il software su cui si regge Liquid. Se la spiegazione preliminare venisse confermata, il meccanismo di uscita non avrebbe rilevato nulla di anomalo per un motivo banale. Ha ricevuto asset che il sistema considerava già legittimi. Liquid afferma che la PAK di SideSwap usata nel processo non è stata compromessa, mentre SideSwap dice altrettanto dei propri sistemi.
Un dettaglio che vale la pena sottolineare riguarda la rete principale. La catena Bitcoin ha continuato a funzionare regolarmente per tutta la vicenda. Liquid è un’infrastruttura a parte, basata su Elements e amministrata tramite una federazione, quindi una fetta della sua sicurezza dipende da componenti che Bitcoin semplicemente non usa. Non si tratta di una vulnerabilità del protocollo principale, ma di un difetto in uno strato costruito sopra, con regole e meccanismi propri.
Il messaggio degli autori e la restituzione promessa
Poi è arrivato il colpo di scena. Chi aveva eseguito l’operazione si è presentato come whitehat, cioè hacker etico, inserendo un messaggio all’interno di una transazione Bitcoin e chiedendo a Blockstream di mettersi in contatto. L’azienda ha risposto sullo stesso canale fornendo i dati del suo team di sicurezza e, stando a quanto riferito da Liquid, la conversazione si è poi spostata su canali cifrati. L’identità di questi soggetti resta però non verificata, il che significa che nessuno può dare per buona l’etichetta di hacker etici solo perché sono loro stessi a rivendicarla. Quello che hanno dichiarato è che avrebbero restituito la maggior parte dei fondi una volta corretto il bug.
Chi controlla i BTC aveva posto una condizione precisa: prima la falla doveva essere sistemata e i nodi aggiornati, poi si sarebbe parlato di spostare il denaro. Blockstream ha risposto con un messaggio firmato in cui dichiarava che i propri nodi ponte erano già stati aggiornati e che restituire i BTC era ormai sicuro. Nell’ultimo aggiornamento pubblicato, però, i circa 4.000 BTC risultavano ancora sotto il controllo di chi aveva eseguito l’operazione, e la restituzione promessa non si era ancora concretizzata.
