⚠️ Защита сработала идеально, но деньги всё равно ушли

⚠️ Защита сработала идеально, но деньги всё равно ушли

6 сентября из федерального кошелька сети Liquid - сайдчейн Биткоина от Blockstream для бирж и институций - вывели около 3 998 BTC, примерно 320 млн$. И ни один ключ при этом не украли

Деньги в Liquid стерегут 15 хранителей: чтобы отпустить BTC, нужны подписи 11 из 15. Плюс защита PAK - вывод уходит только на заранее одобренные адреса, обычный человек забирает монеты через партнёра вроде SideSwap

Так вот, вывод прошёл через настоящий ключ SideSwap, и 11 хранителей его подписали

Дыра оказалась этажом ниже - в коде Elements, на котором работает сеть. Из-за ошибки на сайдчейне родились L-BTC, за которыми не стояло ни одного реального биткоина, а потом их обменяли на настоящие BTC

Все проверки честно спросили "подпись есть? адрес разрешён?" - и ни одна не спросила, а должны ли были эти L-BTC вообще существовать

Из 4 200 BTC в кошельке осталось около 197. Забравший назвался белым хакером и обещает вернуть почти всё после патча

Мультиподпись и белые списки защищают от украденного ключа. От собственной ошибки в коде - не защищают ничем. А этот сайдчейн продавали корпорациям именно как надёжный

Биткоин на главной цепи не дрогнул - в такие моменты и видно, зачем ему простота, которую годами называли недостатком

🖥 Канал | ▶️ Медиа | 🥸 Мемы | 📱 Notion