شبکه لیکوئید (Liquid Network)، از شناخته‌شده‌ترین سایدچین‌های سازمانی بیت‌کوین که توسط شرکت بلاک‌استریم (Blockstream) توسعه یافته است، در روزهای ۶ و ۷ سپتامبر ۲۰۲۶ هدف یک نفوذ گسترده قرار گرفت و نزدیک به ۴٬۰۰۰ واحد بیت‌کوین (معادل تقریبی ۳۲۰ میلیون دلار) از کیف‌پول فدراسیون آن خارج شد؛ رخدادی تکان‌دهنده که با توقف فوری فعالیت شبکه و ادعای عجیب مهاجمان مبنی بر «کلاه‌سفید» بودن همراه شده است.
کالبدشکافی نفوذ؛ باگ تورمی L-BTC و اکسپلویت مکانیزم خروج (Peg-out)
بر اساس داده‌های آن‌چین و گزارش‌های تیم‌های ممیزی امنیتی، این رخنه مستقیماً متوجه سازوکار بازخرید و تبدیل دارایی (Peg-out) در سایدچین لیکوئید بوده است. مهاجمان با بهره‌گیری از کلید مجوز خروج سایدسواپ (SideSwap Peg-out Authorization Key یا PAK) عملیات خود را به انجام رسانده‌اند. با این حال، تحلیل‌های فنی تایید می‌کند که کلیدهای رمزنگاری فدراسیون افشا نشده‌اند، بلکه ریشه ماجرا یک «نقص اجماع و باگ تورمی» در ساختار توکن بومی شبکه یعنی L-BTC بوده است.
این باگ منطقی به مهاجم اجازه داد توکن‌های اعتباری L-BTC را که اساساً پشتوانه ذخیره‌شده‌ای نداشتند ضرب (Mint) کرده و بلافاصله آن‌ها را با نرخ برابری یک‌به‌یک از طریق دروازه فدراسیون به دارایی واقعی بیت‌کوین بر روی بلاکچین اصلی تبدیل کند. به دنبال این تراکنش، موجودی والت فدراسیون لیکوئید که بیش از ۴٬۲۰۰ واحد بیت‌کوین بود، با افت فاحش ۹۵ درصدی به تنها ۲۰۷ واحد بیت‌کوین سقوط کرد.
ادعای هکر کلاه‌سفید و آغاز مذاکرات رمزنگاری‌شده با بلاک‌استریم
عامل این حمله ساعاتی پس از تخلیه استخر دارایی، پیامی رمزنگاری‌شده را در بخش داده‌های خروجی یک تراکنش (OP_RETURN) بر بستر بلاکچین منتشر ساخت و ادعا کرد یک «هکر کلاه‌سفید» است. در متن این پیام عنوان شده بود که هدف از نفوذ، صرفاً آشکارسازی نقص عمیق پروتکل پیش از سوءاستفاده مهاجمان مخرب بوده و بخش عمده وجوه پس از ایمن‌سازی کامل شبکه و به‌روزرسانی تمام نودهای فدراسیون به صندوق بازگردانده خواهد شد.
«ما این اقدام را در قالب کلاه‌سفید انجام دادیم. پس از رفع کامل آسیب‌پذیری زیرساخت و به‌روزرسانی سراسری نودها، عمده دارایی‌ها به فدراسیون بازگردانده می‌شود.»— بخشی از پیام آن‌چین منتسب به نفوذگر شبکه لیکوئید
با این حال، کارشناسان فارنزیک و چهره‌های سرشناس امنیت دیجیتال از جمله مدیر فناوری لجر نسبت به ادعای کلاه‌سفید بودن مهاجم ابراز بدبینی کرده‌اند؛ چرا که در استانداردهای هک اخلاقی، خارج کردن صدها میلیون دلار سرمایه بدون اطلاع قبلی و فلج کردن ۹۵ درصد ذخایر یک شبکه توجیه امنیتی ندارد. طبق گزارش‌های تاییدشده، بلاک‌استریم کانال ارتباطی مستقیمی را با ارسال پیام‌های امضاشده با کلیدهای PGP برای مذاکره بر سر فرآیند بازگشت سرمایه و تعیین پاداش کشف باگ (Bounty) ایجاد کرده است.
| شاخص ارزیابی | وضعیت پیش از رخداد | وضعیت پس از اکسپلویت (سپتامبر ۲۰۲۶) | تاثیر بر کاربران |
|---|---|---|---|
| موجودی ذخیره فدراسیون | بیش از ۴٬۲۰۰ واحد BTC | حدود ۲۰۷ واحد BTC (کاهش ۹۵٪) | توقف امکان برداشت L-BTC |
| وضعیت فعالیت سایدچین | کاملاً فعال و پردازش مستمر | تعلیق موقت پل‌ها و نودها | قفل موقت دارایی‌ها در شبکه |
| امنیت کلیدهای خصوصی | امن و تحت کنترل فدراسیون | دست‌نخورده (نقص از منطق قرارداد بود) | عدم دستیابی به سایر کیف‌پول‌ها |
| سایر توکن‌ها (تتر و دارایی‌های RWA) | پایدار بر بستر شبکه | کاملاً امن و بدون کسری موجودی | بدون خطر از دست رفتن سرمایه |
تعلیق موقت شبکه و وضعیت استیبل‌کوین‌ها و توکن‌های RWA
تیم فنی شبکه لیکوئید برای مهار ابعاد بحران، بلافاصله کلیه درگاه‌های تبدیل پل و پردازش تراکنش‌های جدید را متوقف کرد. بر اساس بررسی‌های تکمیلی، مشخص شده که استیبل‌کوین تتر (USDT) و سایر دارایی‌های دنیای واقعی (RWA) که بر روی لیکوئید منتشر شده‌اند، به طور مستقل ذخیره‌سازی شده و در برابر این آسیب‌پذیری کاملاً مصون مانده‌اند.
صرافی‌های بزرگ بین‌المللی که پشتیبان واریز و برداشت توکن L-BTC بودند، موقتاً کلیه تراکنش‌های این رمزارز را متوقف کرده و اعلام نموده‌اند تا زمان انتشار گزارش ممیزی رسمی و راه‌اندازی نسخه وصله‌شده پروتکل توسط بلاک‌استریم، هیچ تراکنشی تایید نخواهد شد.
درس‌های امنیتی برای زیرساخت‌های لایه دوم بیت‌کوین
این رخنه بار دیگر نگاه منتقدان را به شکنندگی راهکارهای فدرال و بریج‌های دوطرفه جلب کرده است. در شرایطی که لایه اول بیت‌کوین به دلیل مدل ریاضی غیرمتمرکز خود امن‌ترین رکورد تاریخ را حفظ کرده، سایدچین‌ها و راهکارهای جانبی به دلیل پیچیدگی کدهای نرم‌افزاری همواره در معرض خطای انسانی در منطق تراکنش‌ها هستند.
برای آگاهی از آخرین نوسانات و قیمت بازار، می‌توانید صفحه قیمت لحظه‌ای بیت‌کوین و تغییرات نقدینگی در بازار ارزهای دیجیتال سلام بیت را دنبال کنید.
سلب مسئولیت مالی: انتشار اخبار و تحلیل‌های امنیتی بازار رمزارز صرفاً به منظور آگاهی‌بخشی و واکاوی رویدادهای اکوسیستم است و نباید به عنوان مشوق، توصیه مالی یا سیگنال خرید و فروش ارزهای دیجیتال در نظر گرفته شود. بازارهای مالی همواره دارای ریسک‌های پیش‌بینی‌نشده هستند.
