SlowMist、Liquid Networkで約3.2億ドル規模のハッキングを解析　原因はキャッシュキー衝突の脆弱性

セキュリティ企業SlowMistは9月11日、9月6日に発生したLiquid Networkの不正流出について詳細な分析結果を公表した。BlockstreamのElementsコードベースに存在した単一のソフトウェア不具合により、攻撃者は裏付けのないLBTCを約4,000（3,998.5 LBTC）新規発行し、実際のビットコイン（BTC）としてペグアウトすることで、Liquid Federationの準備金の約95%を数時間で流出させたという。被害規模は約3.2億ドル相当とされ、今年公表されたBitcoinサイドチェーン関連のセキュリティ事故として最大級に位置づけられる。 SlowMistによると、フェデレーションのリザーブウォレット残高は4,200 BTC超から約197 BTCまで急減した。 問題の核心は、レンジプルーフ（rangeproof）検証処理に埋め込まれていたキャッシュキー衝突の脆弱性だ。レンジプルーフは、取引額の具体値を明かさずに妥当な範囲内であることを暗号学的に確認する仕組みで、Liquidのコンフィデンシャルトランザクションに不可欠とされる。Elementsは検証高速化のため、過去に妥当と判断したプルーフをキャッシュし、再検証を省略する設計を採用していた。 脆弱性はキャッシュキーの生成方法にあった。v23.3.4以前では、キャッシュキー生成に長さプレフィックス（length prefixes）が含まれておらず、異なる入力が同一キーになる可能性があった。その結果、無効なプルーフでも、正当なプルーフとキーが衝突すれば「既に検証済み」と誤認され、検証を通過し得た。攻撃者はこの挙動を利用して検証を迂回し、フェデレーションのペグ用ウォレットに対応するBTCの裏付けがないLBTCを発行。発行直後にペグアウトを連続実行し、Bitcoinメインネット上の実BTCへと変換した。 事案発覚後、Blockstreamはペグ関連オペレーションを停止して流出拡大を遮断。ネットワークのブロック生成も一時停止し、キャッシュキー管理に長さプレフィックスを導入した修正版Elements v23.3.4の投入後、9月10日に再開した。Blockstreamは、原因はソフトウェアの不具合であり、フェデレーションの署名鍵（signing keys）が侵害されたわけではないと説明している。 攻撃者はBitcoinのOP_RETURNメッセージを通じて連絡し、自身をホワイトハット研究者と名乗った上で、10%のバウンティ（報奨金）を要求した。パッチ適用後、約3,400 BTCがフェデレーションのペグウォレットへ返還された一方、攻撃者は約598.5 BTCを保持したとみられる。これは総流出量に対して約15%に相当し、当初要求の10%を上回る。 SlowMistは今回の教訓として、脆弱性がガバナンスや鍵管理ではなく、性能最適化（キャッシュ）に起因していた点を強調する。検証済みプルーフのキャッシュ自体は合理的だが、実装上の欠陥が約3.2億ドルの攻撃経路になった。ネットワークは4日間停止し、気付かれるまでに準備金の95%が消失、資金回収も一部は攻撃者の返還意思に依存した。分析では、キャッシュキー生成で長さプレフィックスが欠落していたことが決定的要因とされ、同様のパターンを採用するプロジェクトは直ちに監査すべきだとしている。