SlowMist выявила уязвимость Liquid из-за коллизии кэша rangeproof: выпущено 3 998,5 LBTC без обеспечения

SlowMist связала инцидент в Liquid Network от 6 сентября с уязвимостью на уровне консенсуса, которая позволила выпустить около 3 998,5 LBTC без соответствующего pegin в Bitcoin. По данным исследователей, причина — коллизия кэша проверки rangeproof в кодовой базе Elements от Blockstream: из-за оптимизации производительности разные наборы данных получали один и тот же ключ кэша, и сеть принимала сфабрикованную стоимость. SlowMist восстановила цепочку транзакций на стороне Liquid и описала сценарий атаки. Две подготовительные транзакции разместили в блокчейне rangeproof и commitments и одновременно "засеяли" кэши узлов специально подобранными данными. Затем третья транзакция повторно использовала совпадающий ключ кэша при иных границах полей. После попадания в кэш узлы пропускали криптографическую проверку и проверки минимальных значений, из-за чего поддельный commitment проходил как валидный. Компания отмечает, что эксплойт опирался на структуру транзакций, а не на кражу ключей подписи или компрометацию ключа авторизации pegout. Ключевой дефект возник в механизме построения cache key: при конкатенации полей переменной длины не использовались префиксы длины, что создавало условия, при которых два разных набора аргументов могли давать один и тот же хэш. Патч в Elements нацелен на устранение коллизий кэша Проблема затрагивала версии Elements до 23.3.4, включая релизы, выпущенные после патча от 3 августа: тогда были добавлены недостающие поля, но границы полей по-прежнему не защищались. Версия 23.3.4, опубликованная 8 сентября, добавила префиксы длины и аварийный переключатель, позволяющий полностью отключить кэш rangeproof. По оценке SlowMist, исправление устраняет именно тот механизм коллизии, который превратил оптимизацию 2016 года в уязвимость уровня консенсуса. Добыча блоков возобновилась 10 сентября в рамках контролируемого перезапуска: сначала без пользовательских транзакций, пока участники федерации обновляли узлы и продолжали мониторинг, после чего сеть начала постепенно возвращаться к штатной работе. Финансовые последствия инцидента остаются неурегулированными. На следующий день около 3 400 BTC вернули в федеративный peg-кошелёк, но 598,5 BTC на момент публикации анализа SlowMist оставались под контролем атакующего. Сообщается, что он продолжал перемещать средства и оставлял сообщения с требованием 10% "баунти". Восстановление Liquid теперь зависит от пополнения резерва при сохранении заявленного обеспечения 1:1 между LBTC и Bitcoin. Операции pegin и pegout по-прежнему приостановлены; Blockstream отклонила требование о выплате, а Адам Бэк заявил, что peg будет полностью покрыт. Главные открытые вопросы — сроки и механизм восполнения резервов.