SlowMist: из-за коллизии ключей кэша в Liquid украли эквивалент $320 млн

Одна ошибка в кодовой базе Elements от Blockstream позволила злоумышленнику буквально "напечатать" почти 4 000 необеспеченных LBTC, вывести их через peg-out в реальный биткоин и за считанные часы опустошить около 95% резервов Liquid Federation. SlowMist опубликовала полный разбор эксплойта 6 сентября 11 сентября, подтвердив, что это крупнейший публично раскрытый инцидент безопасности с участием биткоин-сайдчейна в текущем году. По оценке SlowMist, было создано и погашено около 3 998,5 LBTC на сумму порядка $320 млн. Резервный кошелёк федерации сократился с более чем 4 200 BTC до примерно 197 BTC. Как оптимизация кэша превратилась в уязвимость на $320 млн Первопричиной, следует из отчёта SlowMist, стала уязвимость коллизии ключа кэша, скрытая в процессе верификации rangeproof. Range proof — это криптографическая проверка, подтверждающая, что сумма транзакции находится в допустимых пределах, не раскрывая точное значение; это ключевой элемент конфиденциальных транзакций Liquid. Чтобы ускорить проверку, Elements кэшировал ранее подтверждённые доказательства и не перепроверял их повторно. Проблема оказалась в построении ключей кэша. До версии v23.3.4 ключи формировались без префиксов длины, из-за чего два разных набора входных данных могли дать одинаковый ключ. В результате система могла принять недействительный rangeproof за уже проверенный, если его ключ совпадал с ключом валидного доказательства. Этой коллизией и воспользовался атакующий: он обходил проверку и выпускал LBTC, не обеспеченные соответствующим BTC в peg-кошельке федерации. Затем токены оперативно выводились через peg-out, конвертируясь в настоящие BTC в основной сети Bitcoin до того, как кто-либо успевал вмешаться. После инцидента: приостановка, патч и переговоры в ончейне Blockstream отреагировала быстро после обнаружения эксплойта. Операции peg были приостановлены, что остановило дальнейший отток средств. Производство блоков в сети также поставили на паузу; работа возобновилась 10 сентября после установки Elements v23.3.4 с исправленным управлением ключами кэша, включая корректные префиксы длины. Blockstream подчеркнула, что причиной стала программная ошибка, а не компрометация ключей подписи федерации. Коммуникация со стороны атакующего велась через сообщения Bitcoin OP_RETURN — способ встраивать короткий текст прямо в биткоин-транзакции. В сообщениях злоумышленник назвал себя whitehat-исследователем и потребовал вознаграждение в 10%. После установки патча в peg-кошелёк федерации вернулось около 3 400 BTC. У атакующего осталось примерно 598,5 BTC, предположительно в качестве "самооценённого" вознаграждения. Это соответствует примерно 15% от общего объёма, а не 10%, о которых он заявлял изначально. Что это означает для федеративных сайдчейнов Проблема не затрагивала управление федерацией или хранение ключей. Уязвимость возникла в механизме оптимизации производительности. Сам по себе кэш проверенных доказательств — нормальная практика, но дефект реализации превратил ускорение в вектор атаки на $320 млн. Сеть оставалась недоступной четыре дня. Около 95% резервов исчезли до того, как это заметили. Возврат средств в значительной степени зависел от готовности атакующего их вернуть. SlowMist отдельно подчёркивает, что именно отсутствие префиксов длины при построении ключей кэша стало критическим фактором, и рекомендует другим проектам, использующим схожие паттерны, срочно провести аудит.