Bitcoin’in yan zincirlerinden, Blockstream’in geliştirdiği Liquid Network cüzdanlarından yaklaşık 4.200 BTC’nin 4 bini tek işlemle çekildi. 320 milyon dolar değerindeki işlem sonrasında Liquid ağı geçici olarak durduruldu. Çekilen miktar, platformun bitcoin rezervlerinin yaklaşık %95’ini temsil ediyor. Ödeme ağı Liquid’i kripto para borsaları da kullanıyor.
SideSwap’in açıklamasına göre saldırganlar, sistemde bulunmaması gereken 4 bin L-BTC’yi Blockstream’in Elements yazılımındaki bir açıktan yararlanarak oluşturdu. Bu tokenlar SideSwap üzerinden yakıldı ve karşılığında federasyon cüzdanından yaklaşık 3.996 gerçek BTC çekildi. SideSwap’in yetkilendirme anahtarının ele geçirilmediği, işlemin sistem tarafından geçerli kabul edilerek normal bir çekim gibi işlendiği belirtildi.
“Bizimle zincir üzerinden iletişime geçin“
Olayın en dikkat çekici taraflarından biri ise saldırganlarla Blockstream arasındaki iletişimin doğrudan Bitcoin ağı üzerinden yürütülmesi oldu.
Bitcoin işlemlerindeki OP_RETURN alanı, küçük miktarda verinin blok zincirine kalıcı olarak kaydedilmesini sağlıyor. Yani Bitcoin ağı, bir bakıma herkese açık ve kalıcı bir mesaj panosu olarak kullanılabiliyor.
Saldırganlar da ilk işlemlerine “Biz white-hat (beyaz şapkalı) hacker’ız. Bizimle onchain üzerinden iletişime geçin.” mesajını ekledi. Ayrıca, hatanın düzeltilmesi halinde fonları geri yollayacaklarını bildirdiler.
Blockstream daha sonra küçük bir Bitcoin işlemi göndererek OP_RETURN alanına iletişim için şirketin güvenlik e-posta adresini yazdı. Saldırganlar da yine zincir üzerinden yanıt vererek Signal kullanıcı adlarını paylaştı. Taraflar böylece e-posta gönderir gibi, ancak mesajların değiştirilemeden kalıcı biçimde kaydedildiği Bitcoin blok zinciri üzerinden ilk teması kurdu.
