「ホワイトハット」がLiquid連合ウォレットへ3,400 Bitcoin(BTC)を返送

3,400 BTCが連合ウォレットに戻る

「ホワイトハット」を名乗る攻撃者グループが月曜、Bitcoin (BTC)のサイドチェーン「Liquid Network」の連合ウォレットに対して3,400 BTCを返送した。サイドチェーンのL-BTCトークンの裏付け資産から流出した約4,000 BTCのうち、おおよそ85%に相当する額だ。オンチェーン記録によると、返送はBitcoinのブロック高965,950で単一の取引として処理され、当時の価格で約2億7,000万ドル相当。初期の流出は約3億2,000万ドルと評価されていた。LiquidはBlockstreamが手がけた、Bitcoin上に構築されたより高速でプライバシー性の高い決済レイヤーであり、実際のBTCを連合ウォレットに保管することで、すべてのL-BTCが1対1で裏付けられる仕組みを取る。これはwrapped Bitcoin型の設計と同じ発想だ。日曜日の不正なペグアウトにより、約4,200 BTCあった準備金はわずか197 BTCまで減少し、裏付けは一時的に崩れた。運営者はブリッジノードを無効化し、ネットワークを停止。取引所に対してもL-BTCの入出金凍結を要請した。テザーをはじめとするLiquid発行の他アセットへの影響はない。迅速な返送で担保ギャップは縮小したものの、約598 BTC(約4,700万ドル相当)は依然として攻撃者側のアドレスに残っており、ネットワークもオフラインのままだ。本件は、Bitcoinサイドチェーンのセキュリティ全体に対するストレステストとも言える。

残る598 BTCを巡るオンチェーン交渉

3億2,000万ドル規模の損失が部分的な回収に転じた背景には、Bitcoinブロックチェーン上だけで完結した異例の交渉があった。攻撃者側はOP_RETURNメッセージで自らを「whitehats」と表明し、脆弱性の修正と全ノードへのパッチ適用が完了した後にのみ資金を返還すると主張。これに対しBlockstreamは、ブリッジノードのパッチ適用が済んだため返金しても安全である旨をPGP署名付きのオンチェーンメッセージで応じ、3,400 BTCの返送が実行された。約3,998.5 BTCの統合残高から見ると、返送率は約85%という計算になる。Samson Mow氏は月曜、次のポイントを明らかにした。未回収は約598 BTCであり、Blockstreamは引き続きこのグループと対話中で、さらなるセキュリティ強化の間もネットワークは停止を継続するという。ただし「ホワイトハット」という枠組みを疑問視する声もある。Ledgerの最高技術責任者であるCharles Guillemet氏は、事前合意のない報奨金なしに約600 BTCを保有し続ける行為は、その言葉を借りれば「ホワイトハットハッキングというより恐喝に近い」と述べた。BlockstreamもLiquidも、保有された資金を交渉によるバグ報奨金だと公に説明しておらず、返還条件も非公開のままだ。これが本件最大の未解明ポイントだ。

鍵の窃取ではなくElementsのバグ

LiquidとSideSwapからの開示により、当初の「SideSwapの鍵が盗まれた」という説は否定された。今回の引き出しには、償還時に連合がBTCを解放することを認可する正当な資格情報であるペグアウト承認キー(PAK)が使用されており、この鍵も連合の他の署名鍵も漏洩していない。Blockstreamは根本原因を、Liquidの基盤となるオープンソースソフトウェア「Elements」のバグに特定した。このバグは、裏付けとなるBTCを持たないL-BTCの発行を可能にしていた。SideSwapのシステム上、そのトークンは本物のL-BTCと区別がつかず、同社のペグアウトサービスは、9月6日14:05 UTCに顧客から4,000 L-BTCを受け取り、バーンして有効な承認を取得。約23分後、Bitcoinメインネット上で約3,996 BTCを通常の償還と見分けがつかない形で放出した。設計上の前提はシンプルだ。1 BTCのロックが1 L-BTCを発行し、1 L-BTCのバーンが1 BTCを解放する。上流のソフトウェアが無担保トークンを発行すれば、下流のすべてのチェックは正しく作動したまま、実際の準備金を支払ってしまう。再開に先立ち、Blockstreamと連合メンバーは修正の完了、停止中に生じたチェーン分岐の解消(ユーザーにはリプレイ攻撃のリスクを伴う工程)、そしてL-BTCの1:1裏付けの再確認を済ませる必要がある。Mow氏は、安全な再開が確認されるまでLiquidのペグインアドレスへBTCを送金しないよう利用者に呼び掛けている。

再開の鍵は裏付けの証明にあり

一次情報に基づくCOINOTAGの読み解きは明快だ。流出額と返送額はいずれもオンチェーンで独立に検証可能であり、ブロック965,950で正確に3,400 BTCが連合アドレスへ戻された事実は疑いの余地がない。Blockstreamの対応、すなわちブリッジノードのパッチ適用から署名付きオンチェーン確認、再開準備までの流れは、悪用経路には対処したが、アーキテクチャそのものは修正していない。鍵は一切侵害されていなかったにもかかわらず、システムは連合準備金のほぼ全額を、正当に見える取引を通じて放出したのである。BlockstreamがElements脆弱性の完全なレポートを公開し、LiquidがL-BTCの1:1裏付けを改めて証明するまで、Bitcoin DeFiスタックに属するサイドチェーンは、鍵の管理監査だけでは捉えきれないリスククラスを抱えることになる。Uppsala SecurityのINTERPOLゲートウェイ構築といった取り組みに見られるオンチェーンフォレンジックは、今回も素早く動いた。ただし今回は、相手側が協力的だったというだけの話だ。