Dòng thời gian vụ tấn công Liquid Network: Quy trình đúc bất thường rút gần 4.000 BTC như thế nào?

Tác giả: Gu Yu, ChainCatcher

Ngày 6 tháng 9, một sự cố bảo mật đã xảy ra trên sidechain Bitcoin Liquid Network, liên quan đến khoảng 320 triệu USD, với khoảng 4.000 BTC bị chuyển ra khỏi ví dự trữ của Liquid Federation. Không giống như các vụ rò rỉ khóa riêng tư hay xâm phạm đa chữ ký thông thường, Liquid cho biết Khóa ủy quyền Peg-out (PAK) liên quan không bị xâm phạm; kẻ tấn công đã khai thác lỗ hổng trong phần mềm Elements nền tảng để tạo ra LBTC bất thường và hoàn tất quy trình thoát chuỗi chéo bình thường.

Sau sự cố, Liquid đã tạm dừng các hoạt động liên quan đến mạng lưới và một số sàn giao dịch đã ngừng nạp và rút LBTC. Sau đó, kẻ tấn công tự xưng là "hacker mũ trắng" đã liên lạc với Blockstream qua tin nhắn trên chuỗi và trả lại 3.400 BTC sau khi Blockstream xác nhận hoàn tất sửa chữa nút. Tuy nhiên, khoảng 598,5 BTC vẫn nằm dưới sự kiểm soát của kẻ tấn công, trị giá khoảng 47 triệu USD.

Tính đến ngày 8 tháng 9, khi mạng Liquid sẽ phục hồi hoàn toàn, cách xử lý số tiền còn lại và chi tiết kỹ thuật đầy đủ của lỗ hổng vẫn đang chờ được công bố thêm.

Một Peg-out có vẻ bình thường, 4.000 BTC đột ngột rời khỏi ví dự trữ

Liquid Network là một sidechain Bitcoin được Blockstream hỗ trợ, chủ yếu dùng để thanh toán BTC nhanh chóng và bảo mật, đồng thời cũng hỗ trợ phát hành stablecoin, chứng khoán token hóa và các tài sản khác. Một trong những cơ chế cốt lõi của nó là neo giá 1:1 giữa BTC và LBTC: người dùng gửi BTC vào ví Bitcoin do Liquid Federation kiểm soát và nhận lượng LBTC tương ứng; trong quá trình ngược lại, LBTC bị hủy và Federation giải phóng BTC cho người dùng.

Để ngăn bất kỳ người dùng nào tùy tiện đổi LBTC lấy BTC trên mạng chính, quy trình Peg-out của Liquid cũng đưa vào cơ chế PAK. Tài liệu chính thức chỉ ra rằng người dùng phải chứng minh địa chỉ Bitcoin của họ thuộc về một mục PAK được ủy quyền, sau đó được các watchmen trong mạng xử lý để giải phóng BTC.

Vào ngày 6 tháng 9, cơ chế này đột ngột gặp trục trặc.

Theo thông tin do SideSwap tiết lộ, một người dùng đã gửi khoảng 4.000 LBTC đến dịch vụ Peg-out của họ. SideSwap đã hủy số LBTC này theo quy trình bình thường và khởi tạo Peg-out đến địa chỉ Bitcoin được chỉ định. Cuối cùng, Liquid Federation đã thanh toán khoảng 3.996 BTC đến địa chỉ đó.

Vấn đề là 4.000 LBTC này không tương ứng với 4.000 BTC đã bị khóa trước đó trong ví Federation.

Liquid sau đó xác định rằng lô LBTC này bắt nguồn từ một lỗ hổng trong phần mềm Elements. Nói cách khác, kẻ tấn công không lấy được khóa riêng tư của ví Federation trước rồi chuyển BTC trực tiếp; thay vào đó, chúng khai thác lỗ hổng phần mềm để tạo ra hoặc có được LBTC lẽ ra không tồn tại, rồi đổi lấy BTC thật thông qua cơ chế Peg-out bình thường của Liquid.

Điều này cũng giải thích tại sao PAK không bị xâm phạm trong sự cố này. SideSwap cho biết Peg-out bị ảnh hưởng đã sử dụng quy trình ủy quyền hợp lệ, hệ thống và PAK của họ không bị xâm phạm; vấn đề nằm ở logic tạo LBTC ở thượng nguồn.

Nhìn từ kết quả, kẻ tấn công đã khai thác hiệu quả lỗ hổng phần mềm trong giả định cơ bản của Liquid rằng "LBTC phải được hỗ trợ bởi lượng BTC tương đương": hệ thống chấp nhận LBTC lẽ ra không tồn tại, và quy trình Peg-out sau đó coi nó như tài sản bình thường, cuối cùng cho phép LBTC không tồn tại được đổi lấy BTC thật.

Tài liệu chính thức của Liquid nêu rõ LBTC và BTC duy trì neo giá 1:1, và lượng LBTC lưu hành không được vượt quá lượng BTC bị Federation khóa. Sự cố này đã phá hoại chính ràng buộc cốt lõi đó.

Khoảng 95% dự trữ BTC bị rút, Liquid khẩn cấp tạm dừng dịch vụ

Quy mô của cuộc tấn công này đã thu hút sự chú ý đáng kể, không chỉ vì số tiền lên tới khoảng 320 triệu USD mà còn vì số BTC bị chuyển ra chiếm phần lớn dự trữ của Liquid vào thời điểm đó.

Trước sự cố, có khoảng 4.200 BTC trong ví Liquid Federation. Việc chuyển đi khoảng 4.000 BTC có nghĩa là khoảng 95% dự trữ bị ảnh hưởng. Liquid sau đó đã tắt các nút cầu nối và tạm dừng các giao dịch mạng mới; một số sàn giao dịch cũng ngừng nạp và rút LBTC.

Trong thông báo ban đầu, Liquid cho biết sự cố liên quan đến "nghi ngờ là hacker mũ trắng" và cho biết Blockstream đang liên lạc với những người kiểm soát tiền qua tin nhắn trên chuỗi. Mạng lưới cũng nhắc nhở người dùng rằng ví và các dịch vụ liên quan của họ sẽ bị ảnh hưởng trong thời gian tạm dừng.

Đáng chú ý là Liquid cho biết sự cố này chủ yếu ảnh hưởng đến dự trữ BTC và tuyên bố các tài sản Liquid khác, bao gồm USDT, DePix và một số tài sản thế giới thực, không bị ảnh hưởng tương tự. Tuy nhiên, do chính mạng Liquid bị tạm dừng, việc chuyển và sử dụng bình thường các tài sản liên quan vẫn có thể bị ảnh hưởng ở cấp độ dịch vụ.

Điều này cũng phân biệt sự cố này với khái niệm truyền thống về "trộm ví nóng". Kẻ tấn công không chỉ đơn giản xâm phạm hệ thống ký ví mà còn khai thác lỗ hổng kết nối giữa phần mềm sidechain và cơ chế hoàn trả chuỗi chéo.

Danh tính "mũ trắng" gây tranh cãi, 3.400 BTC được trả lại

Diễn biến tiếp theo của sự cố đã có bước ngoặt đáng chú ý.

Sau khi chuyển tiền ra, kẻ tấn công đã để lại tin nhắn trong trường OP_RETURN của giao dịch Bitcoin, tự xưng là "mũ trắng" và yêu cầu Liquid liên hệ với họ qua phương tiện trên chuỗi. Blockstream sau đó đã liên lạc với họ bằng tin nhắn trên chuỗi.

Trong liên lạc tiếp theo, kẻ tấn công yêu cầu Blockstream trước tiên sửa lỗ hổng và đảm bảo tất cả các nút liên quan hoàn tất cập nhật trước khi xem xét trả lại tiền.

Vào ngày 7 tháng 9, Blockstream xác nhận qua tin nhắn trên chuỗi có chữ ký: "Các nút cầu nối đã được vá, an toàn để trả lại tiền." Sau đó, kẻ tấn công đã trả lại 3.400 BTC cho địa chỉ Liquid Federation.

Điều này có nghĩa là tính đến hiện tại, khoảng 85% số BTC bị chuyển đã quay trở lại ví do Liquid kiểm soát, trong khi khoảng 598,5 BTC vẫn do những người kiểm soát tiền ban đầu nắm giữ, trị giá khoảng 47 triệu USD theo giá hiện tại.

Tuy nhiên, liệu kẻ tấn công có thực sự được định nghĩa là "mũ trắng" hay không vẫn còn gây tranh cãi. Một mặt, họ đã chủ động trả lại phần lớn tiền sau khi lỗ hổng được vá và yêu cầu Blockstream ưu tiên sửa lỗ hổng, điều này có một số điểm tương đồng với hành vi công bố lỗ hổng mũ trắng nhất định; mặt khác, kẻ tấn công đã chuyển khoảng 4.000 BTC mà không được phép trước khi thiết lập liên lạc với nhóm dự án.

Do đó, Liquid hiện sử dụng cụm từ "tự xưng là hacker mũ trắng" một cách thận trọng. Các chuyên gia bảo mật trong ngành cũng chỉ ra rằng công bố lỗ hổng có trách nhiệm truyền thống thường yêu cầu nhà nghiên cứu báo cáo lỗ hổng cho nhóm dự án trước sau khi phát hiện, thay vì trực tiếp kiểm soát tài sản giao thức. Giám đốc công nghệ Ledger Charles Guillemet đã công khai đặt câu hỏi về tuyên bố "mũ trắng" trong sự cố này và cho rằng cách tiếp cận chuyển lượng lớn tài sản trước rồi yêu cầu nhóm dự án sửa lỗ hổng rõ ràng là gây tranh cãi.

Sự cố thực sự phơi bày sự phụ thuộc của hệ thống chuỗi chéo vào các giả định phần mềm

Sự cố vẫn đang được điều tra và chi tiết kỹ thuật đầy đủ về lỗ hổng cụ thể trong Elements vẫn chưa được Blockstream công bố. Do đó, không nên đưa ra kết luận về nguyên nhân mã cụ thể của lỗ hổng cũng như cách kẻ tấn công phát hiện và khai thác nó.

Tuy nhiên, từ thông tin được tiết lộ, sự cố ít nhất phơi bày một rủi ro chính trong kiến trúc Liquid: bảo mật đa chữ ký của ví Federation không có nghĩa là toàn bộ hệ thống chuỗi chéo không có khả năng tiền bị giải phóng bất thường.

Liquid sử dụng mô hình Federation để quản lý BTC bị khóa trên mạng chính Bitcoin và xác định khi nào cho phép Peg-out thông qua các quy tắc phần mềm. Tài liệu kỹ thuật chính thức chỉ ra rằng cơ chế đa chữ ký của Federation yêu cầu hơn hai phần ba số watchmen tham gia để truy cập tiền, và một cơ chế phục hồi khẩn cấp cũng được thiết kế.

Tuy nhiên, sự cố này đã bỏ qua con đường "đánh cắp khóa riêng tư" truyền thống. Kẻ tấn công khai thác các mối quan hệ logic giữa phát hành tài sản, xác minh LBTC và Peg-out, khiến hệ thống coi LBTC được tạo bất thường là tài sản hợp pháp, cuối cùng kích hoạt giải phóng BTC thật.

Do đó, từ góc độ kỹ thuật, đây không phải là cuộc tấn công vào chính mạng chính Bitcoin. Cơ chế đồng thuận của Bitcoin, các khối mạng chính và xác minh quyền sở hữu BTC không bị ảnh hưởng bởi sự cố này; bên bị ảnh hưởng là Liquid, sidechain được xây dựng trên Bitcoin, và cơ chế neo tài sản của nó.

Đồng thời, sự cố cũng làm nổi bật tầm quan trọng của quản lý vòng đời lỗ hổng phần mềm. Elements là phần mềm mã nguồn mở mà Liquid vận hành, và Liquid đã xác nhận vấn đề bắt nguồn từ Elements. Về việc lỗ hổng này đã tồn tại bao lâu, tại sao không được phát hiện sớm hơn, liệu nó có ảnh hưởng đến các triển khai liên quan đến Elements khác hay không, và liệu có các con đường khai thác tiềm năng khác hay không, cần có thêm các cuộc kiểm toán và công bố chính thức để trả lời những câu hỏi này.

Đối với người dùng, câu hỏi trực tiếp nhất vẫn là khi nào dịch vụ Liquid hoạt động trở lại và liệu khoảng 598,5 BTC còn lại cuối cùng có thể quay trở lại ví Federation hay không. Đối với Blockstream và Liquid, cần có thêm giải thích về nguyên nhân cụ thể của lỗ hổng, các phiên bản phần mềm bị ảnh hưởng, phạm vi sửa chữa và các biện pháp bảo mật tiếp theo.

Việc trả lại 3.400 BTC đã giảm bớt áp lực tài chính cho Liquid, nhưng bản thân sự cố vẫn chưa hoàn toàn kết thúc. Cho đến khi chi tiết lỗ hổng, số tiền còn lại và kế hoạch phục hồi mạng được xác nhận thêm, câu trả lời đầy đủ cho sự cố này vẫn còn bỏ ngỏ.