Niemand stahl einen Schlüssel
Liquid verlor am 6. September 4.019,4 BTC – etwa 320 Millionen US-Dollar – in einem einzigen Peg-out. Die Föderation signierte das mit Schlüsseln, die nie kompromittiert wurden, und SideSwap sagt, sein Peg-out-Schlüssel sei es ebenfalls nicht.
der Fehler saß stromaufwärts. Ein Inflations-Bug in Elements. Jemand hat über 4.000 L-BTC geprägt, die es gar nicht gab. Die Software prüfte diese Coins, erklärte sie für gültig, und die Signierer gaben reale $BTC gegen sie frei.
Reserve-Seite vorher: über 4.200 BTC. nachher: etwa 207😄
Dann signierte der Ausnutzer eine Nachricht on-chain. Wir sind Whitehats. Kontaktiert uns on-chain. Ledgers CTO sagte die offensichtliche Antwort: Whitehats leeren zuerst keine Brücke und fragen erst danach nach Kontakt.
Ich wiederhole „not your keys, not your coins“ („Nicht deine Keys, nicht deine Coins“), als wäre das ein vollständiges Sicherheitsmodell. Es ist nur die halbe Wahrheit. Eine Bridge-Coin ist durch den Code abgesichert, der die Coins zählt. Dieser Code kann falsch sein. Jeder Schlüssel bleibt die ganze Zeit sicher.
Lehren:
- Der Wrapper ist eine Behauptung, die Münze liegt woanders
- Frag, wer die Freigabe signiert und was sie davon überzeugt, dass eine Behauptung echt ist
- Mach das, während die Bridge noch offen ist
Welche Wrapped- oder Bridged-Sache hältst du immer noch? Nenn sie in den Kommentaren, und ich schaue nach, was jedes einzelne wirklich absichert, und poste dann alles auf einmal.
Gefällt dir das, wenn es dir einen Nachmittag gespart hat, folge, wenn du diesen Post sehen willst – von einem Typen, der nichts prüft, bis es schon brennt)
#bitcoin #Liquid #exploit
Liquid verlor am 6. September 4.019,4 BTC – etwa 320 Millionen US-Dollar – in einem einzigen Peg-out. Die Föderation signierte das mit Schlüsseln, die nie kompromittiert wurden, und SideSwap sagt, sein Peg-out-Schlüssel sei es ebenfalls nicht.
der Fehler saß stromaufwärts. Ein Inflations-Bug in Elements. Jemand hat über 4.000 L-BTC geprägt, die es gar nicht gab. Die Software prüfte diese Coins, erklärte sie für gültig, und die Signierer gaben reale $BTC gegen sie frei.
Reserve-Seite vorher: über 4.200 BTC. nachher: etwa 207😄
Dann signierte der Ausnutzer eine Nachricht on-chain. Wir sind Whitehats. Kontaktiert uns on-chain. Ledgers CTO sagte die offensichtliche Antwort: Whitehats leeren zuerst keine Brücke und fragen erst danach nach Kontakt.
Ich wiederhole „not your keys, not your coins“ („Nicht deine Keys, nicht deine Coins“), als wäre das ein vollständiges Sicherheitsmodell. Es ist nur die halbe Wahrheit. Eine Bridge-Coin ist durch den Code abgesichert, der die Coins zählt. Dieser Code kann falsch sein. Jeder Schlüssel bleibt die ganze Zeit sicher.
Lehren:
- Der Wrapper ist eine Behauptung, die Münze liegt woanders
- Frag, wer die Freigabe signiert und was sie davon überzeugt, dass eine Behauptung echt ist
- Mach das, während die Bridge noch offen ist
Welche Wrapped- oder Bridged-Sache hältst du immer noch? Nenn sie in den Kommentaren, und ich schaue nach, was jedes einzelne wirklich absichert, und poste dann alles auf einmal.
Gefällt dir das, wenn es dir einen Nachmittag gespart hat, folge, wenn du diesen Post sehen willst – von einem Typen, der nichts prüft, bis es schon brennt)
#bitcoin #Liquid #exploit