Tin tặc đã hoàn trả 3.400 trong khoảng 4.000 BTC bị rút khỏi Liquid Network, nhưng 600 BTC, trị giá khoảng 47 triệu USD, vẫn chưa được trả lại.
Liquid Network, sidechain Bitcoin do Blockstream vận hành, cho biết hôm thứ Ba rằng các cuộc đàm phán với những cá nhân đứng sau vụ khai thác lỗ hổng gây thiệt hại khoảng 320 triệu USD vẫn đang tiếp diễn nhằm thu hồi toàn bộ số tiền bị đánh cắp. Trong báo cáo sự cố đăng trên X, Liquid xác nhận Blockstream đang làm việc trực tiếp với những cá nhân chịu trách nhiệm để đảm bảo phần còn lại được hoàn trả, dù không công bố các điều khoản đàm phán cũng như mốc thời gian cụ thể.
Sự việc bắt nguồn từ việc rút khoảng 4.000 BTC khỏi mạng lưới vào Chủ nhật, sau khi một lỗ hổng trong phần mềm Elements, nền tảng vận hành của Liquid, cho phép tạo ra các token L-BTC không có tài sản bảo chứng. Số token này sau đó được đổi lấy Bitcoin thật trong quỹ dự trữ của mạng lưới.
Theo Liquid, quá trình đổi tiền được thực hiện thông qua SideSwap, một thành viên của Liên đoàn Liquid vận hành dịch vụ rút tài sản, do lỗi xác thực xảy ra ở cấp độ giao dịch trước khi cơ chế rút tài sản khỏi mạng được khởi tạo, khiến cả nút của SideSwap lẫn các nút chức năng phân tán toàn cầu của Liquid đều chấp nhận L-BTC là hợp lệ.
Hậu quả là lượng Bitcoin dự trữ của Liquid giảm mạnh từ khoảng 4.205 BTC xuống chỉ còn 197 BTC. Các tin tặc đã hoàn trả 3.400 BTC vào thứ Hai, để lại khoảng 600 BTC, tương đương xấp xỉ 47 triệu USD, chưa được thu hồi. Liquid khẳng định USDT cùng các token khác do mạng lưới phát hành không bị ảnh hưởng bởi lỗ hổng, dù người dùng không thể thực hiện giao dịch trong thời gian toàn bộ mạng lưới bị tạm ngừng hoạt động.
Đội ngũ phát triển cũng nhấn mạnh các nút chức năng của Liên đoàn Liquid không bị xâm phạm và không có khóa riêng tư nào bị đánh cắp, đồng thời cho biết cơ chế cấp quyền rút tài sản đến các địa chỉ trong danh sách cho phép vẫn hoạt động đúng thiết kế.
Nghi vấn quanh tuyên bố “mũ trắng”
Tại thời điểm khai thác lỗ hổng, những cá nhân đứng sau vụ việc tự nhận là các nhà nghiên cứu an ninh mũ trắng thông qua một thông điệp ghi trên blockchain Bitcoin. Tuy nhiên, việc 600 BTC vẫn chưa được hoàn trả khiến nhiều người hoài nghi về tính xác thực của tuyên bố này. Charles Guillemet, Giám đốc Công nghệ của Ledger, cho rằng nếu đây thực sự là một khoản thưởng được thỏa thuận theo hợp đồng mã hóa trên chuỗi, hành vi hiện tại giống tống tiền hơn là hoạt động mũ trắng thông thường.
Về phía kỹ thuật, Blockstream đã triển khai bản vá cho các nút cầu nối vào thứ Hai và đang chuẩn bị một bản cập nhật khẩn cấp trong lúc bản sửa lỗi được rà soát. Sau khi hoàn tất, các đơn vị vận hành mạng lưới sẽ tiếp tục điều chỉnh nhằm khôi phục hoạt động bình thường, bao gồm việc từ chối các giao dịch rút tiền không hợp lệ còn tồn đọng.
