متى ستستعيد شبكة Liquid عمليات سحب البيتكوين؟
cryptonewsقالت شبكة Liquid في تحديثها للنظام البيئي بتاريخ 28 سبتمبر إن تدقيقًا أمنيًا خارجيًا لإصدار Elements v23.3.4 جارٍ الآن كجزء من عملها لاستعادة عمليات السحب بأمان بعد الحادث الأمني الذي تعرضت له الشبكة في سبتمبر.
وفي الوقت نفسه، يقوم اتحاد Liquid بتحديث قائمة مفاتيح تفويض السحب (PAK). يتم استبدال الإدخالات الحالية ويعمل الاتحاد على ضمان تأمين جميع مفاتيح استلام البيتكوين المرتبطة بعمليات السحب بشكل صحيح في التخزين البارد.
لم تقدم Liquid موعدًا لاستئناف عمليات السحب. وقالت الشبكة إن التدقيق وتغييرات PAK هي خطوات نحو استئناف عمليات السحب الآمنة، مع توقع تحديث آخر حول عملية الاستعادة قريبًا.
تدقيق شبكة Liquid يستهدف Elements v23.3.4
تم إصدار Elements v23.3.4 في وقت سابق من هذا الشهر لمعالجة الخلل البرمجي الذي تم استغلاله خلال حادث 6 سبتمبر، عندما أنشأ المهاجم حوالي 4000 عملة LBTC غير مدعومة واستخدم عملية السحب العادية في Liquid لسحب البيتكوين من احتياطي الاتحاد.
يضيف التدقيق الخارجي الأخير مراجعة أخرى لهذا الإصدار قبل إعادة تشغيل عمليات السحب.
Elements هي منصة البلوكشين مفتوحة المصدر التي تقف خلف Liquid. تستخدم الشبكة المعاملات السرية، التي تخفي مبالغ المعاملات بينما تسمح البراهين التشفيرية للعقد بالتحقق من صحة تلك المبالغ.
قال تقييم Liquid بعد الحادث إن الثغرة تضمنت الطريقة التي خزنت بها Elements نتائج التحقق من إثبات المدى. كان تغيير سابق قد أزال بعض سياق المعاملة من مفتاح التخزين المؤقت، مما خلق خللًا في الإجماع يمكن أن يسمح بإعادة استخدام نتيجة تحقق مخزنة في ظروف مختلفة.
عالج إصلاح لاحق المشكلة التي تم تحديدها في البداية، لكن بقيت مشكلة ثانية تتعلق بكيفية دمج الحقول في مفتاح التخزين المؤقت. استغل مهاجم 6 سبتمبر تلك الثغرة الثانية لإنشاء مخرج لا تدعم قيمته مدخلاته.
غيّر Elements v23.3.4 كيفية بناء مفاتيح التخزين المؤقت لإثبات المدى وإثبات الحقن عن طريق تسلسل كل حقل ببادئة طول. قالت Liquid إن التغيير يمنع مجموعات مختلفة من المدخلات من إنتاج نفس مفتاح التخزين المؤقت من خلال طريقة التصادم المستخدمة في الهجوم.
تم دمج الإصلاح المحصّن في فرع إصدار Elements 23.3.x في 8 سبتمبر وتم نشر Elements v23.3.4 في اليوم التالي.
استأنفت Liquid إنتاج الكتل بعد أن تلقت العقد الوظيفية تحديثات البرامج المطلوبة، بينما ظلت عمليات الربط معطلة.
عادت المعاملات لاحقًا إلى الشبكة مع تقدم Liquid في عملية الاستعادة المرحلية. ظلت عمليات السحب معلقة بينما يكمل الاتحاد العمل على جزء النظام الذي يطلق BTC من الاحتياطي.
اتحاد Liquid يستبدل إدخالات PAK
يركز الجزء الثاني من تحديث 28 سبتمبر على نظام PAK المستخدم للتفويض بعمليات السحب من Liquid إلى البيتكوين.
بموجب بنية Liquid، تحتوي إدخالات PAK على مفتاحين بوظائف منفصلة. يُشتق مكون غير متصل بالإنترنت من محفظة استلام البيتكوين الخاصة بالعضو، بينما يوقع مفتاح متصل بالإنترنت على طلبات السحب.
تستخدم العقد الوظيفية المكون غير المتصل للتحقق من أن وجهة البيتكوين تنتمي إلى إدخال PAK مسجل. والمقصود أن تظل المفاتيح الخاصة التي تتحكم في استلام البيتكوين غير متصلة بالإنترنت.
يؤدي المكون المتصل بالإنترنت مهمة مختلفة. يعمل مفتاحه الخاص على عقدة Elements لأنه مطلوب لتوقيع طلبات إطلاق البيتكوين من خلال عملية السحب.
قال تقييم حادث Liquid إن ترتيب المحفظة غير المتصلة يهدف إلى توفير طبقة حماية إضافية إذا فشل نظام أعلى. ستبقى البيتكوين التي يتم إطلاقها من خلال السحب في محفظة باردة وتتطلب إجراءً منفصلًا قبل أن يمكن نقلها.
كشف حادث 6 سبتمبر عن ضعف في تلك الحماية إلى جانب ثغرة الإجماع في Elements.
بعد إنشاء LBTC غير المدعومة، استخدم المهاجم SideSwap، وهي عضو في اتحاد Liquid لديها PAK، لمعالجة السحب. تلقت SideSwap حوالي 4000 LBTC من خلال خدمتها قبل أن يطلق موقعو الاتحاد حوالي 3996 BTC على البيتكوين.
قال تقييم Liquid إن مشكلتين منفصلتين سمحتا بأخذ البيتكوين: ثغرات الإجماع في Elements وفجوة في تكوين عملية توقيع PAK لدى أحد أعضاء الاتحاد.
قالت SideSwap إن الاتحاد كان يعلم أن مفتاح تفويض السحب الخاص بها يعمل عبر الإنترنت وأن هذا الترتيب كان مرئيًا في عمليات السحب الخاصة بها لسنوات. وقالت الشركة إنه لم يُطلب منها تغيير كيفية عمل المفتاح أو تعليق عمليات السحب قبل الحادث.
قالت SideSwap إنها تراجع كيفية الاحتفاظ بمفتاح التفويض الخاص بها، بالإضافة إلى الحدود والفحوصات المطبقة قبل الدفعات، ولن تستعيد خدمات السحب الخاصة بها حتى ترضى هي والاتحاد عن الإعداد الأمني الجديد.
يؤكد أحدث تحديث من Liquid الآن أن الاتحاد يستبدل إدخالات PAK الحالية ويعمل على ضمان الاحتفاظ بمفاتيح السحب ذات الصلة في التخزين البارد قبل استئناف عمليات السحب.
تظل عمليات السحب هي العملية المقيدة الأخيرة
عاد نشاط المعاملات الطبيعي في وقت سابق من سبتمبر، لكن ربط البيتكوين ظل خاضعًا للقيود أثناء الاستعادة.
أوقفت Liquid في البداية عقد الجسر في 6 سبتمبر بعد أن استغل المهاجم خلل Elements. استؤنف إنتاج الكتل في 9 سبتمبر باستخدام السلسلة المصححة، تلا ذلك عودة نشاط معاملات المستخدمين بينما راقب الاتحاد الشبكة.
ظلت عمليات السحب معطلة طوال تلك المراحل.
أسفر الحادث الأصلي عن خروج حوالي 4000 BTC من احتياطي الاتحاد بعد أن أنشأ المهاجم LBTC غير مدعومة. عرّف الفاعلون أنفسهم كقبعات بيضاء من خلال رسالة على السلسلة وأعادوا لاحقًا 3400 BTC إلى محفظة الاتحاد بعد أن أكدت Blockstream أن العقد المتأثرة قد تم تصحيحها.
لا يزال حوالي 602 BTC خاضعًا لجهود الاستعادة، وفقًا لأحدث تقييم مفصل للحادث من Liquid.
رفضت Blockstream لاحقًا طلب مكافأة مرتبط بالأموال المتبقية، قائلة إنها ستعمل مع جهات إنفاذ القانون والبورصات والمتخصصين في الأدلة الجنائية ومقدمي الخدمات الآخرين لمتابعة استعادتها.
تدعو خطة الاستعادة المرحلية من Liquid إلى استئناف عمليات الربط بعد استعادة حالة الشبكة واستكمال العمل الأمني المطلوب. التدقيق الخارجي لإصدار Elements v23.3.4 واستبدال إدخالات PAK هما أحدث الخطوات التي تم الكشف عنها في إطار تلك العملية.
هذا المحتوى لأغراض معلوماتية وتعليمية فقط، ولا يمثل نصيحة استثمارية تتعلق بـ BTCC. تبذل BTCC قصارى جهدها ولكنها لا تضمن صحة أو دقة أو أصالة المحتوى المذكور أعلاه.