قصة سحب 320 مليون دولار من Liquid: خلل في التحقق لا سرقة مفاتيح

ما الذي حدث في Liquid؟

أوقفت Liquid نشاط الجسر بعد خروج نحو 4,000 بيتكوين من محفظة الاتحاد التي تدعم أصل L-BTC؛ وكانت القيمة المتداولة وقتها تقارب 320 مليون دولار. وتمثل الكمية، بحسب التقارير، نحو 95% من احتياطي يبلغ قرابة 4,200 BTC. وتشير المعلومات المتاحة إلى خلل تضخمي مزعوم في برمجية Elements، لا إلى سرقة مفاتيح اتحاد Liquid أو مفتاح تفويض SideSwap. لكن التفاصيل التقنية الكاملة للخلل لم تُنشر بعد. 413

التسلسل المُبلّغ عنه يبدو كالتالي:

1. أنشأ طرف ما، وفق الادعاء، وحدات L-BTC لم تكن مدعومة ببيتكوين مقفلة على السلسلة الرئيسية، مستفيداً من خلل في Elements.
2. أُرسلت تلك الوحدات إلى خدمة الـPeg-out الاعتيادية لدى SideSwap، أي مسار تحويل L-BTC إلى BTC على شبكة بيتكوين الأساسية.
3. استخدمت العملية مفتاح تفويض الـPeg-out (PAK) الخاص بـSideSwap، والذي أكدت Liquid وSideSwap أنه لم يُخترق.
4. وافقت بنية اتحاد Liquid على سحب بيتكوين؛ وتضع التقارير المبلغ المدفوع عند نحو 3,996 BTC، بينما يدور إجمالي الواقعة حول 4,000 BTC. 26

بعبارة مبسطة: لا يبدو أن أحداً استولى على مفاتيح الخزانة، بل إن طلب السحب اجتاز فحوص التفويض في النظام رغم أن L-BTC المُسترد، بحسب الادعاء، لم يكن يملك الغطاء الاقتصادي السليم.

لماذا وقّعت وحدات HSM من دون اختراق مفتاح؟

تعتمد Liquid نموذج الاتحاد القوي (Strong Federation): مجموعة من الأعضاء المعروفين تدير السلسلة الجانبية وتتحكم جماعياً في احتياطي البيتكوين عبر التوقيع بعتبة محددة. وتصف وثائق Liquid الرسمية نموذج الإجماع لديها بأنه Strong Federations.

تحمي وحدات الأمان العتادية HSM مفاتيح التوقيع وتطبّق السياسات المبرمجة فيها. لكنها ليست حكماً مستقلاً يستطيع إعادة التحقق من كل الوقائع التاريخية المتعلقة بغطاء أصل ما. فإذا قدّم طلب الـPeg-out مدخلات يتعرف إليها النظام بوصفها صحيحة، بما في ذلك مسار تفويض صالح، يمكن لوحدات HSM أن توقّع من دون أن تكون أي مفاتيح خاصة قد سُرقت.

وهنا يكمن الفرق الجوهري في الحادثة المبلّغ عنها:

• التفويض: جرت معالجة الـPeg-out، بحسب التقارير، باستخدام PAK شرعي تابع لـSideSwap.
• المصدر والغطاء: يقال إن وحدات L-BTC المقدمة للاسترداد أُنشئت بسبب خلل في Elements، بدلاً من إصدارها بالطريقة الطبيعية المدعومة ببيتكوين. 2

وقالت SideSwap إن عملية سحب نحو 4,000 BTC مرت عبر خدمتها بوصفها طلب عميل، وإن مفتاح PAK لم يُخترق، وإن L-BTC جاء من خلل في Elements لا من أنظمة SideSwap.

لذلك، لا تعني الواقعة بالضرورة فشل تشفير التوقيع متعدد الأطراف أو فشل وحدات HSM. فالخلل المشترك في التحقق أو الإصدار قد يجعل الموقّعين الآليين، وهم يعملون كما صُمموا، يوافقون جميعاً على سحب لم يكن ينبغي أن يكون مؤهلاً. التوقيع الصحيح يثبت استيفاء سياسة التوقيع؛ لكنه لا يثبت وحده أن الأصل المسترد كان مغطى على نحو صحيح.

هل هم فعلاً «قبعات بيضاء»؟

ترك المنفذون رسالة على السلسلة تقول: «we are whitehats. contact us on chain» أو «نحن قبعات بيضاء، تواصلوا معنا على السلسلة». 16

كما تفيد التقارير بأن Blockstream وLiquid تواصلتا معهم عبر رسائل موقعة على السلسلة، وأنهم عرضوا إعادة «معظم» الأموال بعد إصلاح الثغرة وتحديث الشبكة بالكامل. 418

لكن هذه الوقائع تثبت فقط أن المنفذين قدموا أنفسهم كباحثين أمنيين وتركوا قناة اتصال. وهي لا تثبت بصورة مستقلة أنهم «قبعات بيضاء». وقت إعداد التقارير، لم يكن قد تأكد رجوع الأموال، ولم يُعلن عن إصلاح علني أو إعادة فتح الشبكة. 13

لذلك فالتوصيف الأدق هو: منفذون يزعمون أنهم قبعات بيضاء. ولا ينبغي التعامل مع هذه الصفة كحكم نهائي قبل إعادة الأموال والتحقق المستقل من تفاصيل الاستغلال والمعالجة.

كيف كان رد Liquid وSideSwap والمنصات؟

عطّلت Liquid عُقد الجسر وأوقفت العمليات، ما عرقل الحركة المعتادة بين شبكة بيتكوين وسلسلة Liquid. كما أُبلغت منصات التداول لإيقاف، أو الاستعداد لإيقاف، إيداعات وسحوبات L-BTC. 48

وقالت SideSwap إنها أوقفت عمليات الـPeg-in والـPeg-out طوال استمرار توقف Liquid.

هذه إجراءات احتواء تهدف إلى الحد من أي تحركات إضافية عبر الجسر، بينما يجري التحقيق في الخلل المزعوم وتقييم وضع الاحتياطي وتحديد شروط الاستئناف الآمن. وترتبط خطة المعالجة المبلّغ عنها بإصلاح العيب، وتحديث العُقد المتأثرة، وحسم مصير البيتكوين المسحوب. 1318

ماذا يعني ذلك لحاملي L-BTC؟

من المفترض أن يمثل L-BTC بيتكوين على شبكة Liquid، لكن مساواته العملية ببيتكوين القابل للسحب تعتمد على أمرين: توافر الجسر، ومصداقية تغطيته بالاحتياطي.

ومع سحب ما يقارب 4,000 BTC من احتياطي قُدّر بنحو 4,200 BTC، بالتزامن مع إيقاف الجسر، تعطلت قابلية الاسترداد العادية لـL-BTC وأصبح العجز المُبلّغ عنه في الاحتياطي هو القضية الفورية للحاملين. 313

هذا لا يحسم النتيجة النهائية أو يثبت استحالة التعافي. لكنه يعني أنه أثناء الحادثة لم يكن الاحتفاظ بـL-BTC مماثلاً عملياً للاحتفاظ بـBTC يمكن سحبه بحرية على طبقة بيتكوين الأساسية. والنتيجة النهائية تتوقف على استرداد الأموال، وإصلاح الخلل المزعوم، وقرارات الاتحاد، وسياسات مزودي الخدمات والمنصات.

وماذا عن الأصول الأخرى على Liquid؟

لا يعني خروج BTC من محفظة الاتحاد أن احتياطيات كل أصل آخر صادر على Liquid قد استُنزفت تلقائياً. وقالت Liquid إن أصولاً مثل USDT وDePix والأصول الواقعية المرمّزة (RWA) لم تتأثر بالحادثة ذاتها.

لكن كلمة «لم تتأثر» لا تساوي «بلا مخاطر». فتوقف الشبكة قد يؤثر في المحافظ، ودعم المنصات، والسيولة، وإتاحة المعاملات، والقدرة على استخدام L-BTC، الذي يمثل أصل الرسوم وأداة الجسر الرئيسية في الشبكة. ويظل الغطاء المباشر لكل أصل مرتبطاً بجهة إصداره وترتيبات الحفظ الخاصة به، فيما تعتمد قابلية استخدامه عملياً على عودة بنية Liquid للعمل بصورة طبيعية.

الدرس المعماري: اتحاد مُوقّعين مقابل جسر BitVM

تعتمد البنية الحالية لـLiquid على اتحاد معروف ومصرح به يتحكم في احتياطي البيتكوين عبر التوقيع بعتبة. وهذا يختلف عن أن تتحقق قواعد إجماع بيتكوين نفسها من أن كل عملية استرداد مدعومة بالضمانات اللازمة.

الجسر الاتحادي الحالي	اتجاه BitVM المقترح بنموذج 1-of-n
اتحاد ثابت يتحكم في احتياطي BTC عبر التوقيع بعتبة.	تصفه Blockstream بأنه مسار بحثي طويل الأجل، لا بديلاً مطبقاً لـLiquid حالياً.
يعتمد الأمان على حماية المفاتيح، وتشغيل الموقّعين، وصحة برمجيات التحقق والسياسات المشتركة.	الهدف هو خفض افتراضات الثقة مقارنة بتصاميم التوقيع بعتبة التقليدية.
قد يؤدي خلل برمجي مشترك إلى قبول جميع الموقّعين للتفسير الخاطئ نفسه.	تستخدم تصاميم BitVM التحقق المتفائل وآليات الطعن؛ ويعتمد أمنها على صحة البروتوكول ووجود طرف صادق ونشط قادر على الاعتراض.

لا يلغي نموذج BitVM مخاطر الجسور، بل ينقلها إلى افتراضات مختلفة: يجب أن يكون المتحدون قادرين وراغبين في التحرك، وأن تكون آلية إثبات الغش سليمة، وقد تصبح السحوبات أكثر تعقيداً أو أبطأ. وتصف أبحاث الجسور المبنية على BitVM الهدف الأمني بأنه يتطلب وجود مشارك صادق واحد على الأقل، فيما يهدف BitVM2 إلى إتاحة الطعن في الادعاء غير الصحيح لأي طرف أثناء التشغيل.

وإذا تأكدت الآلية المبلّغ عنها في حادثة Liquid، فهي توضح سبب أهمية هذا الفارق: يمكن لاتحاد يعتمد التوقيع بعتبة أن يكون محمياً من سرقة المفاتيح، لكنه يظل معرضاً للخطر حين يعتمد جميع موقّعيه على تفسير برمجي خاطئ مشترك لتحديد ما إذا كان الأصل صالحاً للاسترداد.

الخلاصة

حادثة Liquid البالغة قيمتها المبلّغ عنها 320 مليون دولار تبدو، وفق المعطيات المتاحة، أزمة تحقق في الجسر وليست سرقة تقليدية لمفاتيح خاصة. إذ يبدو أن دفعة L-BTC غير مغطاة، أنشئت عبر خلل مزعوم، عبرت مسار Peg-out مصرحاً به وأدت إلى تحرير BTC حقيقية من الاحتياطي. 24

وتبقى الأسئلة الحاسمة بلا إجابة علنية مكتملة: ما طبيعة ثغرة Elements بالتحديد؟ ما وضع الاحتياطي والتغطية النهائية لـL-BTC؟ هل ستعود الأموال؟ وما الضوابط التي يجب تغييرها قبل استئناف الجسر بأمان؟ إلى أن تُتحقق هذه النقاط علناً، ينبغي التعامل مع الواقعة باعتبارها غير محسومة، لا باعتبارها إفصاحاً روتينياً من «قبعات بيضاء» أو توقف خدمة عابر.