リキッドで約491億円相当のビットコイン流出 「ホワイトハット」名乗るハッカーが約414億円分を返還

ホワイトハットを名乗るハッカーらが、ビットコインのサイドチェーン「リキッド」の準備金から約3億2000万ドル（約491億円）相当を引き出した後、3400BTC、約2億7000万ドル（約414億円）相当をリキッド・フェデレーションのウォレットに返還した。

JAN3のCEOで、ブロックストリーム元幹部でもあるサムソン・モウ氏は月曜日、ブロックストリーム側が影響を受けたブリッジノードの修正を完了したことを確認した後、返還が行われたと明らかにした。モウ氏によれば、なお約598BTCが未返還であり、ブロックストリームは引き続き当事者らとやり取りを続けているという。

今回の返還は、日曜日に発生したセキュリティインシデントを受けたものだ。ハッカーらは、約4200BTCが保管されていたウォレットから約4000BTCを引き出していた。オンチェーン記録では、正確に3400BTCがフェデレーションのウォレットアドレスに送金されたことが確認できる。

ブロックストリームは、更新済みソフトウェアの配布を終え、フェデレーションのメンバーがネットワークの協調再開に向けて準備していると説明している。リキッドは、フェデレーションが保有するビットコインを裏付けにL-BTCを発行する仕組みだ。今回、流出したビットコインの約85％が戻ったことで、一時停止中のネットワークが再開へ向かう中、失われた裏付けの大部分は回復した格好だ。

返還の裏で進んだオンチェーン交渉

当初の出金は、サイドスワップの「ペグアウト承認キー」を通じて処理された。ただし、リキッドとサイドスワップは、このキー自体が侵害されたわけではないと説明している。サイドスワップによれば、問題となったL-BTCは、リキッドの基盤となるオープンソースソフトウェア「エレメンツ」のバグに由来するものだった。

ブロックストリームは、ビットコイン取引に埋め込まれた署名付きメッセージを通じて、ハッカーらと接触した。自らをホワイトハットと名乗る当事者らは、脆弱性が修正され、すべてのノードにパッチが適用されれば、資金の大半を返還すると伝えていた。

モウ氏によると、ブロックストリームとフェデレーションのメンバーは追加の修正とセキュリティ改善、チェーン分岐の解消、安全な再開準備を進めており、リキッドはなお一時停止中だという。同氏はユーザーに対し、ネットワーク再開が正式に確認されるまで、リキッドのペグインアドレスにビットコインを送らないよう呼びかけた。一方で、それ以外にユーザー側で必要な対応はないとしている。

ただ、今回の一部返還を受け、レジャーの最高技術責任者であるシャルル・ギユメ氏は、当事者らをホワイトハットと呼ぶことに疑問を呈した。同氏は、なお彼らの管理下にある約600BTCが、暗号化されたオンチェーン通信を通じて交渉された「報酬」だとすれば、それは「ホワイトハットハッキングというより、恐喝に近い」と指摘した。

ブロックストリームとリキッドはいずれも、未返還のビットコインをバグ報奨金と位置づけたわけではなく、返済条件も公表していない。コインテレグラフは両社にコメントを求めたが、公開時点までに回答は得られていない。