Liquid Networkから約4,000BTCが流出、攻撃者は「修正後に大半を返還」と主張

資産を見えないシステムに預ける際、最も恐れるべきは価格変動ではなく、そのシステム自体が突然エラーを起こし得ることを証明してしまうことだ。ビットコインのサイドチェーンであるLiquid Networkでは週末、連合ウォレットから約4,000BTC、当時の価値で約3億2,000万ドル相当が移出される事件が発生した。攻撃者はその後、ソフトウェアの脆弱性が修正され次第、大半の資金を返還する意向を示した。

この約束は単なるカスタマーサポートのメールではなく、オンチェーンに記録された対話だ。The Blockの報道によると、ホワイトハッカーを自称する攻撃者はBitcoin取引のOP_RETURNフィールドとPGP暗号化テキストを通じてBlockstreamとやり取りし、ブロック965,875に要求を残した。内容は、まず脆弱性を修正し、すべてのノードが更新を完了したことを確認してから、資金返還について話し合うというものだった。

その後Blockstreamは、PGP署名付きのオンチェーンメッセージで応答し、ブリッジノードの修正が完了し、資金返還が可能な状態であると表明した。この署名はBlockstreamの公式サイトで公開されているセキュリティキーで検証可能だ。しかし本稿執筆時点で、約4,000BTCは依然として攻撃者のウォレットに留まっている。「返還する」というのは、まだ実行されていない約束であり、完了した結果ではない。

事件の技術的な経緯も、単なる「秘密鍵の盗難」より複雑だ。SideSwapによると、関連する取引ではまず4,000枚のL-BTCが同社のpeg-outサービスに送られ、同サービスは有効な権限を用いてトークンをバーンした。その後Liquid Federationが相手のBitcoinアドレスに3,996BTCを支払った。SideSwapは、自社のシステムおよびpeg-out権限の鍵は侵害されていないと述べており、Blockstreamはその後、問題がElementsソフトウェアの脆弱性に起因することを確認した。

Liquidはすでにネットワーク活動を一時停止しており、ブリッジノードは無効化され、取引所にはLBTCの入出金停止が求められている。SideSwapも、swap、peg-in、peg-outはネットワーク復旧後まで再開しないとしている。ユーザーにとっては、影響が攻撃者のウォレットだけにとどまらず、通常の資金移動の利用可能性にも及んでいることを意味する。

今回の事件で最も落ち着かないのは、技術的な修正と資金返還が同じ交渉の中に組み込まれている点だ。ノードの更新完了は検証可能な技術的進捗だが、攻撃者が実際に大半のBTCを返還するかどうかはまったく別の話だ。オンチェーンでの送金が実際に行われるまで、いかなる約束も未確認情報として扱うしかない。