Liquid Network、3億2000万ドル規模のハッキング後にビットコイン(BTC)準備金を全額復旧

Liquid Federationが準備金を完全に復旧

準備金の大半を流出させたハッキングから2か月、サイドチェーンLiquid Networkを運用するLiquid Federationは月曜日、裏付けとなるビットコイン (BTC)が全額そろったと確認した。連合の公式発表によると、Liquid上で発行されるラップ型ビットコインLBTCの全量について1:1の裏付けが再確立され、参加プロバイダーを経由するBTCとLBTCの交換は数週間前に等価レートで再開済みという。Liquidは2018年にBlockstreamが開始した仕組みで、取引所や仮想通貨企業の連合が運用する。ユーザーはBTCをロックして同量のLBTCを受け取り、ベースチェーンより高速かつプライバシーを重視した決済資産としてLBTCが使われている。今回の復旧はビットコインの価格動向ではなく保管の問題を扱うもので、流通するLBTCすべてが連合管理下のロック済みビットコインに裏付けられるという約束を回復させた。BlockstreamのCEO Adam Backは、負債が完全にカバーされ準備金比率が100%、不足額が0.00 BTCであることを示すダッシュボードの画面を公開した。ブロックエクスプローラーのデータでは、循環供給量は4,270.54 LBTC、約3億2,700万ドル相当で、同額のビットコインが裏付けとして並ぶ。Liquidノードを動かす者は誰でも準備金を直接検証できる。Blockstreamの元最高セキュリティ責任者Samson Mowは、確認の直前にXへの投稿で、約2か月間にわたり約600 BTC(約4,600万ドル)残っていた不足を埋めるため250 BTCが追加されたと記していた。代替資金の出所と、9月の事件に関する事後検証報告の公開時期については言及がなく、連合は責務と監督を明確化するガバナンス構造の刷新や、さらなる技術的・運用面の対策を今後数週間で示すとしている。

9月のハッキングと失われた598 BTC

問題の発端は9月6日にある。攻撃者はBlockstreamが開発し連合が運用するソフトウェアElementsの欠陥を突き、裏付けのない約4,000 LBTCを鋳造した。偽の証明書が本物として受理されたため、攻撃者はそれを実際のコインと引き換え、連合のウォレットから約4,000 ビットコイン (BTC)(当時約3億2,000万ドル相当)を引き出し、ビットコイン取引に埋め込んだPGP署名付きメッセージでBlockstreamと交信していた。翌日、クロスチェーンブリッジのノードに修正が施された後、3,400 BTC(約2億6,900万ドル)が返還された。残る約598 BTCは攻撃者が「バグ発見に対する10%の報奨金」と位置づけて保持しており、以来動いていない。Blockstreamは身代金支払いを拒否し、盗まれた資産を留保することは責任ある脆弱性開示ではなく犯罪だと主張した。LedgerのCTO Charles Guillemetはこの要求を、ホワイトハットというより恐喝に近いと評した。ネットワークの連合はHodl Hodl、Specter、CoinShares、Komainu、Xapo、Bull Bitcoinなど81のメンバーで構成され、ロックされたビットコインの移動には15署名中11署名を要する。対応をめぐっては批判も上がった。9月下旬、カナダのBull Bitcoinは自社プラットフォーム経由ではLBBCではなくLBTCの引き出しができないと告知し、創業者のFrancis Pouliotは復旧の報に「1:1」の一言で応じた。BackはXで再発防止策を問われ、3層の防御を挙げた。ペグアウト承認鍵の更新とコールドウォレットへの移管、 proof検証キャッシュの無効化とノードのバグ修正、そしてフェイルクローズになるよう調整された合意ルールである。さらに複数の第三者監査が完了したと述べ、開発者にはAIが提案する修正を鵜呑みにせず疑って扱うよう警告した。

復旧で残された課題

今回の復旧でLiquidユーザーの頭上にあった最大の懸念は解消されたが、2つの疑問は開いたままだ。598 BTCの不足をどのように賄ったのか、そして約束された事後検証報告がいつ出るのかである。ハッキングはネットワークのリスクモデルも塗り替えた。15署名中11署名のマルチシグは持ちこたえた一方で、Elementsのコード欠陥が偽の証明書を本物として通した。これは鍵の盗難とは異なる脅威であり、Bitcoin DeFiやサイドチェーンのエコシステムにとって、ペグ資産の安全性は準備金を守る署名と同じくらい、発行と引き出しのコードに依存することを意味する。連合がガバナンス改革の詳細を公表するまで、LBTC保有者は100%を示すダッシュボードを根拠に、同じ81のメンバー構成へ信頼を預け続けることになる。