Apa yang terjadi
Sekitar 4 000 BTC mencapai alamat penyerang, meskipun Liquid menerapkan pembatasan penarikan berdasarkan alamat yang disetujui.
Mengapa ini penting
Kasus ini menunjukkan kemungkinan kesenjangan antara batasan penarikan formal dan perlindungan aktual atas dana pengguna, namun data yang tersedia saat ini belum mengungkapkan mekanisme serangan tersebut.
Menurut publikasi Unchained, sekitar 4 000 BTC berakhir di alamat penyerang, terlepas dari aturan Liquid yang membatasi penarikan dana hanya ke alamat yang terkait dengan kunci otorisasi terdaftar. Dokumentasi Liquid menggambarkan mekanisme ini sebagai perlindungan terhadap pengalihan dana pengguna oleh penyerang.
Alex Thorn, kepala riset di Galaxy, menyatakan bahwa pembatasan ini tidak berlaku bagi individu yang mengambil bitcoin tersebut. Dengan demikian, kasus yang digambarkan ini mempertanyakan bagian operasi mana yang sebenarnya dicakup oleh aturan alamat yang disetujui.
Signifikansi praktis dari cerita ini bergantung pada detail serangan: dari paket data yang tersedia, tidak jelas kredensial atau tahap penarikan mana yang dikompromikan dan mengapa kontrol tersebut gagal berfungsi. Sinyal penting berikutnya adalah penjelasan dari Liquid dan konfirmasi atas rute pergerakan dana.
Fakta terkonfirmasi
- Unchained melaporkan bahwa sekitar 4 000 BTC mencapai alamat penyerang.
- Liquid membatasi penarikan bitcoin ke alamat yang terkait dengan kunci otorisasi terdaftar.
- Dalam dokumentasi Liquid, kontrol ini dijelaskan sebagai sarana untuk mencegah pengalihan dana pengguna kepada penyerang.
- Alex Thorn, kepala riset Galaxy, menyatakan bahwa pembatasan tersebut tidak mencakup orang-orang yang mengambil bitcoin.
- Paket sumber menyajikan satu publikasi independen dalam format metadata, tanpa konfirmasi primer.
Konteks
Cerita ini didasarkan pada publikasi independen dari Unchained dan sinopsis metadata-nya; teks lengkap materi dan komentar primer tidak disajikan dalam paket.
Yang masih belum diketahui
- Bagaimana tepatnya penyerang memperoleh kemampuan untuk menarik dana di luar aturan alamat yang disetujui?
- Apakah Liquid telah mengonfirmasi fakta insiden dan volume bitcoin yang diklaim?
- Tahap operasi mana yang dicakup oleh pembatasan tersebut dan mana yang tetap berada di luar jangkauannya?
- Apakah ada konfirmasi independen mengenai rute pergerakan dana?
Konteks editorial
Tingkat keyakinan: sedang
Jika deskripsi insiden ini dikonfirmasi, perhatian akan beralih pada batas-batas kontrol alamat yang disetujui dan tahap penarikan mana yang benar-benar dilindunginya. Sinyal terdekat yang dapat diamati adalah komentar resmi dari Liquid yang menguraikan mekanisme serangan dan jumlahnya. Ketidakpastian signifikan tetap ada: paket ini tidak memiliki konfirmasi primer dan detail teknis.