ภาพประกอบ｜ที่มาภาพ：คลังภาพที่ได้รับอนุญาตสิ่งที่น่ากลัวที่สุดในการมอบทรัพย์สินให้ระบบที่มองไม่เห็นไม่ใช่ความผันผวนของราคา แต่คือตอนที่ระบบพิสูจน์ว่ามันก็ผิดพลาดได้เช่นกัน ในช่วงสุดสัปดาห์ที่ผ่านมา Liquid Network ซึ่งเป็น sidechain ของ Bitcoin เกิดเหตุการณ์ BTC ราว 4,000 เหรียญถูกโยกออกจากกระเป๋าแบบพันธมิตร (federation wallet) โดยมูลค่าขณะนั้นอยู่ที่ประมาณ 320 ล้านดอลลาร์ ผู้โจมตีระบุในภายหลังว่ายินดีคืนเงินส่วนใหญ่ หลังช่องโหว่ของซอฟต์แวร์ได้รับการแพตช์เรียบร้อย
คำมั่นสัญญานี้ไม่ใช่อีเมลจากฝ่ายบริการลูกค้า แต่เป็นบทสนทนาที่บันทึกอยู่บนเชน The Block รายงานว่า ผู้โจมตีที่อ้างว่าเป็น white hat ได้ติดต่อกับ Blockstream ผ่านช่อง OP_RETURN ของธุรกรรม Bitcoin ด้วยข้อความเข้ารหัสแบบ PGP และทิ้งข้อเรียกร้องไว้ที่บล็อก 965,875 ว่าให้แก้ไขช่องโหว่ก่อน ยืนยันว่าโหนดทั้งหมดอัปเดตเรียบร้อยแล้ว จึงจะพูดคุยเรื่องการคืนเงิน
ต่อมา Blockstream ได้ตอบกลับด้วยข้อความบนเชนที่ลงนามด้วย PGP ระบุว่าโหนดบริดจ์ได้รับการแพตช์เรียบร้อยแล้ว และสามารถคืนเงินได้ ซึ่งลายเซ็นดังกล่าวสามารถตรวจสอบได้ด้วยกุญแจความปลอดภัยที่ Blockstream เผยแพร่บนเว็บไซต์ทางการ อย่างไรก็ตาม จนถึงเวลาที่เผยแพร่รายงานนี้ BTC ราว 4,000 เหรียญยังคงอยู่ในกระเป๋าของผู้โจมตี "จะคืนเงิน" ยังคงเป็นคำมั่นสัญญาที่ยังไม่เกิดขึ้นจริง ไม่ใช่ผลลัพธ์ที่เสร็จสมบูรณ์
เส้นทางเทคนิคของเหตุการณ์นี้ก็ซับซ้อนกว่าแค่ "กุญแจถูกขโมย" SideSwap ระบุว่าธุรกรรมที่เกี่ยวข้องเริ่มจากการส่ง L-BTC จำนวน 4,000 เหรียญเข้าสู่บริการ peg-out ของตน โดยบริการดังกล่าวใช้สิทธิ์ที่ถูกต้องในการเผาโทเคน จากนั้น Liquid Federation จึงจ่าย BTC จำนวน 3,996 เหรียญไปยังที่อยู่ Bitcoin ของอีกฝ่าย SideSwap ระบุว่าระบบของตนเองและกุญแจสิทธิ์ peg-out ไม่ได้ถูกเจาะ ขณะที่ Blockstream ยืนยันในภายหลังว่าปัญหามาจากช่องโหว่ในซอฟต์แวร์ Elements
Liquid ได้ระงับกิจกรรมบนเครือข่ายแล้ว โหนดบริดจ์ถูกปิดใช้งาน และมีการขอให้ตลาดแลกเปลี่ยนระงับการฝาก-ถอน LBTC เช่นกัน ส่วน SideSwap ระบุว่าฟังก์ชัน swap, peg-in และ peg-out ทั้งหมดจะเปิดให้ใช้งานอีกครั้งหลังเครือข่ายกลับมาเป็นปกติ สำหรับผู้ใช้งานแล้ว นี่หมายความว่าผลกระทบไม่ได้จำกัดอยู่แค่กระเป๋าของผู้โจมตี แต่ยังลามไปถึงความสามารถในการเข้า-ออกของเงินทุนตามปกติด้วย
สิ่งที่ทำให้เหตุการณ์นี้รู้สึกอึดอัดที่สุด คือการที่การแก้ไขทางเทคนิคกับการคืนเงินถูกผูกไว้ในการเจรจาเดียวกัน การที่โหนดอัปเดตเสร็จสมบูรณ์เป็นความคืบหน้าทางวิศวกรรมที่สามารถตรวจสอบได้ แต่ผู้โจมตีจะคืน BTC ส่วนใหญ่จริงหรือไม่นั้นเป็นอีกเรื่องหนึ่ง ก่อนที่การโอนเงินบนเชนจะเกิดขึ้นจริง คำมั่นสัญญาใดๆ ก็ทำได้แค่ถือเป็นข้อมูลที่รอการยืนยันเท่านั้น
