Was passiert ist
Etwa 4 000 BTC erreichten die Adresse des Angreifers, obwohl Liquid eine Auszugsbeschränkung auf autorisierte Adressen nutzt.
Warum das wichtig ist
Der Fall zeigt eine potenzielle Lücke zwischen der formalen Auszugsbeschränkung und dem tatsächlichen Schutz der Benutzerfonds, doch die verfügbaren Daten legen den Angriffsmechanismus noch nicht offen.
Laut dem Bericht von Unchained landeten etwa 4 000 BTC trotz der Liquid-Regel, die Auszüge auf Adressen beschränkt, die mit registrierten Autorisierungsschlüsseln verknüpft sind, auf der Adresse des Angreifers. Die Dokumentation von Liquid beschreibt diesen Mechanismus als Schutz vor der Umleitung von Benutzerfonds durch Angreifer.
Alex Thorn, Leiter der Forschung bei Galaxy, erklärte, dass diese Einschränkung nicht für die Personen galt, die die Bitcoins abgehoben haben. Der beschriebene Vorfall wirft somit die Frage auf, welchen Teil des Vorgangs die Regel für autorisierte Adressen eigentlich abdeckte.
Die praktische Bedeutung der Geschichte hängt von den Details des Angriffs ab: Aus dem verfügbaren Paket geht nicht hervor, welche Anmeldedaten oder Auszugsschritte kompromittiert wurden und warum die Kontrolle nicht griff. Das nächste wichtige Signal wird eine Erklärung von Liquid und eine Bestätigung des Weges der Geldbewegung sein.
Bestätigte Fakten
- Unchained berichtete, dass etwa 4 000 BTC die Adresse des Angreifers erreichten.
- Liquid beschränkt Bitcoin-Auszüge auf Adressen, die mit registrierten Autorisierungsschlüsseln verknüpft sind.
- In der Dokumentation von Liquid wird diese Kontrolle als Mittel beschrieben, das verhindert, dass Fonds von Benutzern an einen Angreifer umgeleitet werden.
- Alex Thorn, Leiter der Forschung bei Galaxy, stated, dass die Einschränkung nicht für die Personen galt, die die Bitcoins abgehoben haben.
- Das Quellenpaket enthält eine unabhängige Veröffentlichung im Metadatenformat ohne primäre Bestätigung.
Kontext
Die Story basiert auf einer unabhängigen Veröffentlichung von Unchained und deren metadatenbasiertem Synopsis; der vollständige Text des Materials und primäre Kommentare liegen im Paket nicht vor.
Was noch unbekannt ist
- Wie genau erhielt der Angreifer die Möglichkeit, Mittel außerhalb der Regel für autorisierte Adressen abzuziehen?
- Hat Liquid den Vorfall und das behauptete Volumen in Bitcoin bestätigt?
- Welche Schritte der Operation wurden von der Einschränkung abgedeckt und welche blieben außerhalb ihres Geltungsbereichs?
- Gibt es eine unabhängige Bestätigung des Weges der Geldbewegung?
Redaktioneller Kontext
Konfidenz: mittel
Sollte sich die Beschreibung des Vorfalls bestätigen, wird sich die Aufmerksamkeit auf die Grenzen der Kontrolle autorisierter Adressen und darauf richten, welche Auszugsschritte sie tatsächlich schützt. Das nächste beobachtbare Signal ist ein offizieller Kommentar von Liquid mit einer Analyse des Angriffsmechanismus und der Summe. Eine erhebliche Unsicherheit bleibt bestehen: Das Paket enthält keine primäre Bestätigung und keine technischen Details.