Liquid Network于周日发生的安全事件,暴露了其L-BTC代币锚定机制中的关键缺陷,导致侧链的1:1比特币储备几乎被完全掏空。据网络官方声明,约4000枚BTC(价值约3.2亿美元)通过peg-out路径从Liquid Federation钱包中被提取。该联邦钱包在事件发生前持有约4200枚BTC。
资金是通过结算平台SideSwap运营的“Peg-out授权密钥”被移除的。Liquid强调,该密钥以及网络的其他密钥均未被入侵。初步调查指向L-BTC发行与赎回流程中的软件漏洞,该漏洞据称允许创建无抵押的L-BTC,随后将其用于peg-out,从而使得相应BTC从联邦储备中撤出。
事件发生后,联邦成员临时关闭了桥接节点,暂停新交易并实质性地使侧链停机。交易所已收到通知,并已暂停或准备暂停L-BTC的存取款。Liquid表示,网络上发行的其他资产(包括USDT、DePix和现实世界资产)并未受此次安全漏洞影响,但桥接节点的关闭也中断了这些资产的转移。
此次攻击机制与2022年Wormhole事件中涉及无抵押包装资产的情况更为相似,而非Ronin Bridge攻击中的验证器密钥泄露。同时,也与Nomad的消息验证失败有相似之处,不过Nomad是一个无需许可的跨链桥,而非联邦式比特币侧链。
据称,攻击者在漏洞修复后主动提出归还大部分BTC,但截至9月7日,尚未有确认的还款报告。现有信息显示,这可能是首起通过L-BTC peg-out机制几乎耗尽Liquid Federation全部储备的公开事件,不过仍需技术事后剖析加以确认。
直接的财务影响不仅限于联邦钱包本身。约4000枚BTC(共4200枚)被移除,导致支撑Liquid声称的1:1 L-BTC锚定的储备几乎完全枯竭,这引发了外界对侧链储备完整性及其未来运营的严重担忧。
