SlowMist виявила помилку колізії кешу в Liquid Network: в обіг потрапило 3 998,5 LBTC без забезпечення

Коротко: SlowMist пов'язала експлойт у Liquid із колізією в кеші перевірки rangeproof, через яку в обіг потрапило близько 3 998,5 LBTC без відповідного pegin у біткоїні. Після інциденту приблизно 3 400 BTC повернули до федеративного гаманця, тоді як 598,5 BTC залишалися під контролем зловмисника; операції pegin/pegout на час відновлення мережі були призупинені. За висновками SlowMist, інцидент у Liquid Network 6 вересня спричинила вразливість на рівні консенсусу, що дозволила згенерувати незабезпечені LBTC без внесення BTC через pegin. Команда відтворила ланцюжок транзакцій на стороні Liquid і виявила колізію в кеші перевірки rangeproof у кодовій базі Elements від Blockstream. Мережа прийняла сфабриковане значення через оптимізацію продуктивності: різні вхідні дані для перевірки отримували один і той самий ключ кешу. Протягом кількох хвилин щойно створені LBTC було консолідовано та виведено через федеративний механізм pegout, обмінявши їх на реальні BTC у мережі Bitcoin під час атаки. SlowMist підкреслює, що експлойт спирався на спеціально сформовані транзакції, а не на викрадення ключів підпису чи компрометацію ключа авторизації pegout. Схема атаки включала дві підготовчі транзакції: вони розмістили в ланцюгу rangeproof і commitments та водночас 'засіяли' кеші вузлів спеціально підібраними даними. Далі третя транзакція повторно використала колізійний ключ кешу з іншими межами полів. Після спрацювання кешу вузли пропускали криптографічну перевірку та перевірки мінімальних значень, унаслідок чого підроблений commitment проходив як коректний. Джерелом проблеми, за даними SlowMist, стала побудова ключа кешу шляхом конкатенації полів змінної довжини без префіксів довжини, що дозволяло різним наборам аргументів утворювати один і той самий хеш. Патч Elements націлено саме на механізм колізії кешу. Уразливість зачіпала версії Elements до 23.3.4 включно з релізами після патчу від 3 серпня, який додав відсутні поля, але не зафіксував їхні межі. Версія 23.3.4, випущена 8 вересня, додала префікси довжини та 'аварійний' перемикач для повного вимкнення кешу rangeproof. Виправлення усуває механізм, через який оптимізація, що існувала з 2016 року, перетворилася на вразливість рівня консенсусу. Видобуток блоків відновили під час контрольованого перезапуску 10 вересня, спочатку без користувацьких транзакцій. Члени федерації оновлювали вузли та продовжували моніторинг, після чого мережу поступово повертали до штатної роботи. Фінансові наслідки залишаються неврегульованими. Наступного дня приблизно 3 400 BTC повернули до федеративного peg-гаманця, але на момент публікації аналізу SlowMist 598,5 BTC залишалися у зловмисника. За даними дослідників, кошти продовжували переміщати, а в транзакції вбудовували повідомлення з вимогою 10% 'баунті'. Подальше відновлення Liquid залежить від поповнення резерву зі збереженням обіцяного забезпечення 1:1 між LBTC та Bitcoin. Операції pegin і pegout досі призупинені, Blockstream відхилила вимогу щодо винагороди, а Адам Бек заявив, що peg буде повністю покрито. Відкритими залишаються терміни та джерела поповнення резервів.