Hampir 4,000 BTC Keluar dari Liquid: Bagaimana Peg-Out $320 Juta Berlaku Tanpa Kunci Dicuri

Liquid Network menghentikan aktiviti jambatannya selepas kira-kira 4,000 BTC — dilaporkan bernilai sekitar AS$320 juta ketika itu — keluar daripada dompet federasi yang menyandarkan L-BTC. Pengeluaran tersebut bersamaan kira-kira 95% daripada rizab yang dilaporkan. Berdasarkan maklumat yang tersedia, puncanya didakwa ialah kecacatan inflasi dalam perisian Elements, bukannya kunci autorisasi federasi atau SideSwap yang dicuri. Namun, butiran teknikal penuh masih belum didedahkan kepada umum. 413

Apa yang dilaporkan berlaku

Urutan kejadian yang dilaporkan kelihatan jelas, walaupun punca teknikal sebenar masih belum diperincikan sepenuhnya:

1. Seorang atau beberapa pelaku didakwa mencipta L-BTC yang tidak disokong oleh BTC terkunci, melalui kecacatan perisian Elements.
2. L-BTC itu dihantar ke perkhidmatan peg-out pelanggan SideSwap seperti pesanan biasa.
3. Peg-out tersebut menggunakan Peg-out Authorization Key (PAK) SideSwap yang sah; Liquid dan SideSwap menyatakan kunci itu tidak dikompromi.
4. Infrastruktur federasi Liquid kemudian mengesahkan pengeluaran BTC pada rangkaian Bitcoin. Laporan meletakkan pembayaran itu sekitar 3,996 BTC, dengan keseluruhan insiden menghampiri 4,000 BTC. 26

Ringkasnya, laporan tidak menunjukkan seseorang mencuri kunci yang mengawal rizab. Sebaliknya, sistem nampaknya menerima permintaan pengeluaran yang melepasi semakan autorisasi, walaupun L-BTC yang ditebus itu didakwa tidak mempunyai sandaran ekonomi yang sah.

Mengapa HSM boleh menandatangani transaksi jika tiada kunci dicuri?

Liquid menggunakan model Strong Federation: ahli federasi mengendalikan rantaian sisi dan secara bersama mengawal rizab BTC melalui tandatangan ambang. Dokumentasi teknikal Liquid sendiri menerangkan model konsensus ini sebagai Strong Federations.

Modul keselamatan perkakasan, atau HSM, melindungi kunci tandatangan serta menguatkuasakan dasar yang telah ditetapkan. Namun, HSM bukan pemeriksa bebas yang mampu menilai setiap fakta sejarah tentang sama ada sesuatu aset benar-benar disandarkan oleh BTC.

Jika permintaan peg-out membawa input yang dikenal pasti sistem sebagai sah — termasuk laluan autorisasi yang sah — HSM boleh menandatangani transaksi tanpa sebarang kunci peribadi dicuri.

Itulah perbezaan utama dalam insiden yang dilaporkan ini:

• Autoriti: peg-out itu dikatakan diproses menggunakan PAK SideSwap yang sah.
• Asal dan sandaran: L-BTC yang ditebus didakwa terhasil daripada pepijat Elements, bukannya proses penerbitan biasa yang disokong oleh BTC terkunci. 2

SideSwap berkata peg-out kira-kira 4,000 BTC itu melalui perkhidmatannya sebagai pesanan pelanggan, PAK miliknya tidak dikompromi, dan L-BTC berkenaan berpunca daripada pepijat Elements — bukan sistem SideSwap sendiri.

Maksudnya, kriptografi HSM atau tandatangan ambang tidak semestinya gagal. Kecacatan bersama dalam pengesahan atau penerbitan boleh menyebabkan penandatangan automatik yang berfungsi seperti ditetapkan meluluskan pengeluaran yang sepatutnya tidak layak. Tandatangan yang sah hanya membuktikan dasar tandatangan dipenuhi; ia tidak membuktikan aset yang ditebus semestinya disandarkan dengan betul.

Adakah pelaku benar-benar “white hats”?

Pelaku meninggalkan mesej dalam rantaian blok yang berbunyi: “we are whitehats. contact us on chain.” 16

Laporan juga menyatakan Blockstream/Liquid menghubungi mereka menerusi mesej dalam rantaian yang ditandatangani. Pelaku itu dilaporkan menawarkan untuk memulangkan “sebahagian besar” dana selepas kerentanan tersebut ditampal pada seluruh rangkaian. 418

Fakta ini menunjukkan pelaku mendakwa bertindak atas alasan penyelidikan keselamatan dan menyediakan saluran komunikasi. Namun, ia tidak membuktikan mereka benar-benar penyelidik keselamatan yang bertindak secara beretika. Ketika laporan disediakan, dana itu belum disahkan dipulangkan, manakala tampalan awam dan pembukaan semula rangkaian juga belum disahkan. 13

Justeru, istilah paling tepat ialah “white hats yang didakwa” atau purported white hats. Gelaran tersebut tidak patut dianggap sebagai kesimpulan sebelum dana dipulangkan, butiran eksploit disahkan secara bebas dan langkah pemulihan dilaksanakan.

Tindakan Liquid, SideSwap dan bursa

Liquid melumpuhkan nod jambatan serta menghentikan operasi, sekali gus menghalang pergerakan biasa antara Bitcoin dan Liquid. Bursa turut dimaklumkan untuk menghentikan, atau bersedia menghentikan, deposit serta pengeluaran L-BTC. 48

SideSwap pula menyatakan ia menghentikan peg-in dan peg-out selagi Liquid berada dalam keadaan dijeda.

Langkah ini ialah langkah pembendungan: ia mengehadkan pergerakan tambahan melalui jambatan sementara pengendali menyiasat kerentanan yang dilaporkan, menilai kedudukan rizab dan menetapkan syarat untuk memulakan semula rangkaian dengan selamat. Pelan pemulihan yang dilaporkan bergantung pada pembaikan kecacatan, kemas kini nod terjejas dan penyelesaian status BTC yang telah dikeluarkan. 1318

Apa maknanya kepada pemegang L-BTC?

L-BTC direka sebagai Bitcoin pada rangkaian Liquid. Namun dalam praktiknya, kesetaraan L-BTC dengan BTC yang boleh dikeluarkan dengan mudah bergantung pada dua perkara: jambatan perlu beroperasi, dan sandarannya perlu diyakini.

Dengan hampir 4,000 BTC dilaporkan keluar daripada rizab kira-kira 4,200 BTC, serta aktiviti jambatan dihentikan, penebusan biasa L-BTC kepada BTC terganggu dan kekurangan rizab menjadi isu segera untuk pemegang L-BTC. 313

Ini bukan penentuan muktamad tentang hasil pemulihan. Tetapi sepanjang insiden, memegang L-BTC tidak sama dari segi operasi dengan memegang BTC di lapisan asas Bitcoin yang boleh dipindahkan atau dikeluarkan secara bebas. Hasil akhirnya bergantung pada pemulihan dana, pembaikan pepijat yang didakwa, keputusan federasi dan dasar penyedia perkhidmatan.

Bagaimana pula dengan aset lain di Liquid?

Aset lain yang diterbitkan di Liquid tidak secara automatik kehilangan rizab penerbit masing-masing hanya kerana BTC keluar daripada dompet federasi. Liquid menyatakan aset seperti USDT, DePix dan RWA tidak terjejas secara langsung oleh insiden itu.

Namun, “tidak terjejas” tidak bermaksud “tanpa risiko”. Jeda rangkaian boleh menjejaskan akses dompet, sokongan bursa, kecairan, ketersediaan transaksi dan penggunaan L-BTC sebagai aset yuran serta aset jambatan. Sandaran langsung setiap aset masih bergantung pada penerbit dan aturan penjagaannya sendiri, manakala kegunaan operasinya bergantung pada infrastruktur Liquid kembali berfungsi seperti biasa.

Pelajaran seni bina: federasi berbanding jambatan gaya BitVM

Liquid ketika ini bergantung pada federasi yang dikenali dan berizin, dengan rizab BTC dikawal melalui tandatangan ambang. Ini berbeza daripada model di mana konsensus Bitcoin sendiri mengesahkan bahawa setiap penebusan benar-benar disandarkan.

Peg federasi semasa	Arah cadangan 1-daripada-n gaya BitVM
Federasi tetap mengawal rizab Bitcoin melalui tandatangan ambang.	Blockstream menerangkannya sebagai inisiatif penyelidikan jangka panjang, bukannya pengganti Liquid yang sudah digunakan.
Keselamatan bergantung pada perlindungan kunci, operasi penandatangan serta ketepatan perisian pengesahan dan dasar bersama.	Matlamatnya ialah mengurangkan andaian kepercayaan berbanding reka bentuk tandatangan ambang konvensional.
Satu kecacatan perisian bersama berpotensi menyebabkan semua penandatangan automatik menerima tafsiran tidak sah yang sama.	Sistem gaya BitVM menggunakan pengesahan optimistik dan mekanisme cabaran; keselamatan bergantung pada reka bentuk protokol yang betul serta sekurang-kurangnya seorang pencabar yang jujur dan aktif.

Model gaya BitVM tidak menghapuskan risiko jambatan. Ia mengalihkan risiko kepada andaian lain: pencabar perlu mampu dan sanggup bertindak, proses bukti penipuan mesti tepat, dan pengeluaran mungkin lebih rumit atau mengambil masa lebih lama. Penyelidikan tentang jambatan berasaskan BitVM menerangkan model sasaran yang memerlukan sekurang-kurangnya seorang peserta jujur; BitVM2 pula bertujuan membolehkan sesiapa mencabar dakwaan tidak sah ketika sistem berjalan.

Jika mekanisme yang dilaporkan disahkan, insiden Liquid menunjukkan mengapa perbezaan itu penting. Federasi tandatangan ambang boleh selamat daripada kecurian kunci, tetapi masih terdedah apabila semua penandatangan bergantung pada tafsiran perisian yang sama dan tafsiran itu tersilap tentang sama ada sesuatu aset layak ditebus.

Kesimpulan

Insiden Liquid bernilai kira-kira AS$320 juta yang dilaporkan ini ialah krisis pengesahan jambatan, bukannya kecurian kunci peribadi secara konvensional. Sejumlah L-BTC yang didakwa tidak disandarkan nampaknya berjaya melalui laluan peg-out berautoriti, menyebabkan federasi melepaskan BTC sebenar. 24

Persoalan penting masih belum terjawab: apakah sebenarnya kerentanan Elements tersebut, bagaimana kedudukan akhir rizab dan sandaran L-BTC, sama ada dana akan dikembalikan, serta kawalan apa yang perlu berubah sebelum jambatan boleh dibuka semula dengan selamat. Selagi semua perkara ini belum disahkan secara terbuka, insiden ini wajar dianggap belum selesai — bukan pendedahan white-hat yang lengkap atau gangguan perkhidmatan biasa.