شبكة Liquid تخسر 4,000 بيتكوين (BTC) في ثغرة تحقق في Elements

ثغرة تحقق تسمح بإصدار 4,000 LBTC وهمية

تم إصدار ما يقارب 4,000 وحدة من بيتكوين (BTC) بشكل غير مشروع وسحبها من شبكة Liquid، وهي السلسلة الجانبية الفيدرالية التي تشغّلها Blockstream وتتيح للمستخدمين نقل عملات Bitcoin (BTC) إلى طبقة معاملات أسرع وأكثر خصوصية. ووفقًا للإفصاح الرسمي عن الحادثة الصادر عن الشبكة، وقع الاختراق عند الساعة 15:53 بتوقيت UTC يوم 6 سبتمبر، عند كتلة Liquid رقم 4,050,336، حيث استغل مهاجم ثغرة في عملية التحقق داخل Elements، وهو شيفرته البرمجية مفتوحة المصدر التي تعتمد عليها Liquid، فأنشأ ما يقارب 4,000 وحدة من LBTC، الرمز المرتبط بالبيتكوين على السلسلة الجانبية، دون أي احتياطي فعلي من BTC يحتها. تعمل Liquid بنظام ربط ثنائي الاتجاه: تدخل الأموال عبر عملية ربط (peg-in)، وتُسترد عبر حرق رموز LBTC لإطلاق البيتكوين على السلسلة الرئيسية، حيث تُوجّه عمليات الاسترداد عادةً عبر الأعضاء المصرّح لهم. حوّل المهاجم رموز LBTC المزورة إلى بيتكوين أصلي عبر منصة SideSwap، وهو عضو في الاتحاد يحمل مفاتيح تفويض الإخراج (PAK). ولأن خطأ التحقق ظهر في مرحلة المعاملة قبل تنفيذ عملية الإخراج، اعتبرت عقدة SideSwap وعُقد الاتحاد الوظيفية السحب مشروعًا، فتوجّه نحو 4,000 BTC عبر عناوين SideSwap المدرجة في القائمة البيضاء إلى محافظ يسيطر عليها المهاجم. ويؤكد الإفصاح بوضوح أنه لم يُخترق أي عقدة وظيفية ولم يتسرب أي مفتاح خاص: فقد عمل آلية الإخراج تمامًا كما صُممت، بينما وقع الخلل في التحقق الأولي، وهو توليفة نادرة من عوامل مستقلة أفلتت من الدفاعات القائمة. الضرر على الاحتياطيات جسيم: فقد كانت محفظة الربط تحتفظ بنحو 4,205 Bitcoin (BTC) قبل الحادثة، وبعد السحب إضافةً إلى عمليات إخراج أخرى نُفذت قبل التوقف، لم يتبقَّ سوى نحو 197 BTC، أي أن ما يقارب 95% من الغطاء وراء LBTC تلاشى في معاملة واحدة. أما الأصول الأخرى الصادرة على الشبكة، مثل تمثيلها لعملة USDT، فلم تتأثر ذاتها بالثغرة، لكن التوقف الشامل للشبكة جعلها غير قابلة للاستخدام مؤقتًا. وتقول الجهة المشغّلة إن المستخدمين العاديين غير مشغّلي العقد لا يحتاجون إلى أي إجراء وقائي في هذه المرحلة، بينما تستمر التحقيقات الجنائية.

استعادة 3,400 BTC إلى محفظة الربط

جاءت الاستعادة خلال يوم واحد. إذ نشرت Blockstream ترقيعًا على عقد الجسر بحلول الساعة 01:09 بتوقيت UTC يوم 7 سبتمبر، وأغلقت بذلك المسار الذي استغله المهاجم. وفي وقت لاحق من صباح اليوم نفسه، عند الساعة 09:41:26 بتوقيت UTC، سُجلت رسالة على السلسلة الرئيسية تفيد بأن الإصلاح طُبّق وأن إعادة الأموال صارت آمنة، مصحوبة بتوقيع يُطابق مفتاح الأمان المنشور من Blockstream. وعند الساعة 16:09:25 بتوقيت UTC، أدرجت معاملة استرداد في كتلة رقم 965950 من سلسلة البيتكوين الرئيسية أعادت 3,400 BTC إلى محفظة الربط الخاصة بالاتحاد، في تغطية تقارب 85% من المسحوب. أما المهاجم، الذي ترك رسالة على السلسلة الرئيسية يصف نفسه فيها بباحث أمني ذي قبعة بيضاء ويدعو إلى التواصل بشأن التعامل مع الثغرة، فقد احتفظ بنحو 598.5 Bitcoin (BTC)، أي ما يقارب 15% من الإجمالي، وكانت المفاوضات لإعادتها ما تزال جارية حتى 8 سبتمبر. ولا توجد معلومات علنية تؤكد أن المبلغ المتبقي كان مكافأة متفقًا عليها، وقد وضع هذا الرصيد عنوان المهاجم الآن ضمن حيتان البيتكوين البارزين. الحساب على السلسلة صريح: غادر نحو 3,996 BTC احتياطيات كانت تحتفظ بنحو 4,200 BTC، بمبلغ يقارب 49.9 مليار ين بسعر الصرف السائد وقت الحادثة. وتتطلب عمليات استرداد LBTC حرق الرمز لإطلاق البيتكوين على السلسلة الرئيسية، وهي خطوة يوجّهها المستخدمون العاديون عادةً عبر أعضاء أو شركات مصرّح لها، ولهذا لا يواجه حاملو التجزئة أي إجراء فوري. التطبيع هو الخطوة التالية: يخطط الفريق لإصدار طارئ للبرمجيات المرقعة، الإصدار Elements v23.3.4، خلال 48 ساعة، يُتوقع بعده أن ينسق مشغّلو العقد الوظيفية إجراءات تشمل إبطال عمليات الإخراج الاحتيالية قبل استئناف التداول. وحتى 8 سبتمبر ظلت الشبكة متوقفة: إذ أدرجت صفحة الحالة الخاصة بالمشغّل الحادثة الجارية، وعلّقت منصات التداول الإيداعات والسحوبات عبر الجسر، وأوقفت خدمات التبديل عمليات الربط وإخراج الربط. لا يمكن التحقق من الغطاء الكامل إلا بعد مطابقة الاحتياطيات القابلة للاسترداد مع أرصدة LBTC الصالحة القائمة.

ثقة مغلفة لا إثبات عمل

ما تزال المفاوضات حول الرصيد المتبقي نشطة. ففي تقرير حادثة نُشر على منصة X يوم الثلاثاء، قالت Liquid إن المناقشات بين Blockstream والأفراد المسؤولين ما تزال مستمرة لتأمين إعادة الأموال المتبقية، دون الكشف عن أي شروط أو جدول زمني. وتُقدّر قيمة المبلغ غير المستعاد، نحو 598.5 BTC، بنحو 47 مليون دولار، وهو رقم أثار الشكوك حول صفة "القبعة البيضاء" التي أعلنها المهاجمون عن أنفسهم: فقد كتب المدير التقني لشركة Ledger، تشارلز جيوميه، على منصة X أن احتجاز 600 BTC يجعل الحادثة تبدو "أقرب إلى الابتزاز منها إلى الاختراق ذي القبعة البيضاء". وأكدت Liquid مجددًا أن وظيفيها لم يُخترقوا وأنه لم يُسرب أي مفتاح خاص، وقالت إن أولوياتها الفورية هي استعادة المبلغ المتبقي واستئناف العمليات الطبيعية للشبكة بأسرع وأأمن وسيلة ممكنة، بينما يُحضَّر تحديث طارئ إلى جانب الإبطال المخطط للسحب الاحتيالي. ويمكن لمن يتابع السوق لحظة بلحظة تتبع أسعار البورصة والعقود الآجلة المباشرة عبر Bitget.

(حتى الساعة ‏01:13 UTC‏) (حتى الساعة 01:13 بتوقيت UTC) قراءة COINOTAG: الحقائق الأساسية هنا تسكن على السلسلة، لا في التعليقات. فمعاملة الاسترداد في الكتلة 965950، ورسالة المهاجم ذات القبعة البيضاء، والرصيد المسحوب بنحو 3,996 BTC، كلها قابلة للتحقق المستقل على سلسلة البيتكوين الرئيسية، في حين يعالج التقرير اللاحق للفريق السبب الجذري والإصلاح معًا: فشل تحقق قبل عملية الإخراج في Elements، رُقّع على الجسر ويُغلق نهائيًا مع إصدار v23.3.4. تؤكد هذه الحادثة أن L-BTC أصل مغلف من حيث تصميم الثقة، أقرب إلى البيتكوين المغلف (WBTC) منه إلى أمان إثبات العمل على السلسلة الرئيسية، وأن أيّ شخص يوجّه عملات BTC عبر طبقات Bitcoin DeFi، أو يراقب تجارب السلاسل الجانبية في المنظومة الأوسع للبيتكوين، ينبغي أن يتتبع إثباتات الاحتياطيات لا الأسماء التجارية.