Liquid Network in der Krise: Fast 4.000 BTC verlassen die Reserve

Eine der wichtigsten Infrastrukturen rund um Bitcoin geriet am 6. September in eine ernste Notlage. Laut Berichten von Blockstream und SideSwap verließen fast 4.000 Bitcoin im Wert von rund 320 Millionen US-Dollar die Reserven von Liquid Network, der von Blockstream entwickelten Sidechain, die daraufhin ihren Betrieb vorübergehend einstellte. Die abgezogene Menge entspricht nach Angaben des Liquid-Teams rund 95 Prozent aller dort verwahrten Bitcoin.

Die eigentliche Geschichte ist jedoch nicht die Größe der Summe. Es ist die Art und Weise, wie der Abfluss zustande kam, die ernsthafte Fragen zur Sicherheit solcher Infrastrukturen aufwirft. Denn nach Aussage des Teams selbst wurden keine Zugriffsschlüssel gestohlen: Das System hat den Transfer regulär autorisiert. Eines ist dabei entscheidend, um unnötige Panik zu vermeiden: Das Bitcoin-Hauptnetz wurde in keiner Weise kompromittiert. Was genau passiert ist und warum dieser Fall als Lehrstück gilt, wird im Folgenden erklärt.

Was genau passiert ist

Zum Verständnis braucht es zunächst eine kurze Erklärung, was Liquid ist. Es handelt sich um eine Sidechain, also eine separate, aber mit Bitcoin verbundene Blockchain. Sie ist auf schnellere und privatere Transaktionen ausgelegt und wird hauptsächlich von Börsen und institutionellen Investoren genutzt. Das System funktioniert nach einem Zwei-Wege-Mechanismus: Echte Bitcoin werden „gesperrt“, um im Gegenzug eine Version auf der Sidechain namens L-BTC zu erhalten. Möchte man die originalen Bitcoin zurück, werden die L-BTC in einem Prozess namens Peg-out „verbrannt“. Die echten Bitcoin werden von einer „Föderation“ aus fünfzehn Betreibern verwahrt; für jede Bewegung der Mittel ist die Zustimmung von mindestens elf von ihnen erforderlich.

Genau hier liegt die Anomalie, während am 6. September initiierte ein unbekannter Akteur einen Peg-out für knapp 4.000 Bitcoin. Die Föderation autorisierte und führte diesen mit regulären Signaturen aus. Der Transfer war technisch gesehen gültig: Die Signaturen waren legitim, kein Sicherheitsschlüssel wurde gestohlen oder gewaltsam gebrochen. Wie konnte dann fast die gesamte Reserve abfließen? Die Antwort liegt laut ersten Rekonstruktionen der Beteiligten in einem Softwarefehler.

Der Kern des Problems: ein Bug, kein gestohlener Schlüssel

Hier liegt der technisch entscheidende Punkt. Laut einer Erklärung von SideSwap, dem Peg-out-Dienst, über den die Operation lief, und bestätigt durch Blockstream, wurden die zum Abheben der Bitcoin verwendeten L-BTC durch einen Bug in Elements erzeugt, der Software, auf der die Sidechain basiert. Der Angreifer hat also keine Schlüssel gestohlen, um den Abfluss zu erzwingen, sondern eine Schwachstelle im Code ausgenutzt, um scheinbar legitime L-BTC aus dem Nichts zu erschaffen und diese dann regulär über den normalen Peg-out-Prozess in echte Bitcoin umzuwandeln.

Diese Unterscheidung ist alles, und sie erklärt, warum der Fall so schwerwiegend und lehrreich ist. Ein gestohlener Schlüssel ist ein begrenzter Vorfall: Man widerruft den Schlüssel, sichert die Mittel und das Problem ist behoben. Ein logischer Fehler in der Art und Weise, wie das System Auszahlungen autorisiert, ist hingegen ein weit tiefgreifenderes Konstruktionsproblem, das eine Korrektur am Protokoll selbst erfordert. Der Unterschied ist der zwischen einem Dieb, der einen Schlüssel stiehlt, und einem Konstruktionsfehler im Schloss, der jeden, der den Trick kennt, hineinlässt. Die Schutzmechanismen der Föderation, konzipiert gegen gestohlene Schlüssel, erwiesen sich als wirkungslos gegen einen Angriff, der keinen einzigen Schlüssel brauchte. Diese Art struktureller Schwachstelle zeigte sich auch beim Bug, der sechs Blockchains im Cosmos-Ökosystem traf: nicht die Schlüssel, sondern die Codelogik war das Problem.

„White Hat“ oder Angriff? Die gebotene Vorsicht

Es gibt ein weiteres Element, das den Vorgang offenhält. Die Urheber des Abzugs hinterließen eine Nachricht auf der Blockchain, in der sie sich als „White Hats“ bezeichnen, also als ethische Hacker, die eine Schwachstelle aufdecken und die Mittel zurückgeben wollen. Blockstream versucht, sie über eine On-chain-Nachricht zu kontaktieren. Doch hier ist größte Vorsicht angebracht: Das ist eine Behauptung der Täter selbst, kein verifizierbarer Fakt.

https://docs.liquid.net/docs/technical-overview

Wie der Sicherheitschef eines bekannten Unternehmens der Branche skeptisch anmerkte, muss das Etikett „White Hat“ durch Fakten bestätigt werden, nicht auf Vertrauensbasis akzeptiert werden. Der einzige Beweis ist die tatsächliche Rückgabe der Mittel. In ähnlichen früheren Fällen wurde die Bezeichnung „ethischer Hacker“ erst vergeben, nachdem die Bitcoin tatsächlich zurückgegeben worden waren. Bis dahin bleibt die Unterscheidung zwischen einem gutgemeinten Schwachstellen-Disclosure und einem handfesten Diebstahl offen. Zum Zeitpunkt der Veröffentlichung waren die Mittel noch nicht zurückgegeben, und die Identität der Täter ist unbekannt. Dies ist ein Mahnmal dafür, wie wichtig es ist, keine eigenen Assets dort zu verwahren, wo man die Schlüssel nicht kontrolliert, ein Thema, das in der Anleitung zur sicheren Verwahrung von Kryptowährungen ausführlich behandelt wird.

Der grundlegende Unterschied: Bitcoin ist nicht Liquid

Unabhängig vom Ausgang ist dieser Fall wertvoll, weil er eine Unterscheidung scharf beleuchtet, die zu oft ignoriert wird: der Unterschied zwischen der Sicherheit von Bitcoin und der Sicherheit der darauf aufgebauten Infrastrukturen. Das Bitcoin-Hauptnetz, mit seinem dezentralen Konsensmechanismus aus Tausenden von Nodes, wurde durch diesen Vorfall weder berührt noch auch nur ansatzweise in Frage gestellt. Betroffen war eine Sidechain, also ein separates System, das von einem Unternehmen mit einem eigenen, deutlich zentralisierteren Sicherheitsmodell betrieben wird.

Sidechains und weitere auf Bitcoin aufgebaute Schichten versprechen Vorteile wie höhere Geschwindigkeit und mehr Privatsphäre. Um diese zu erreichen, führen sie jedoch Kompromisse und neue Schwachstellen ein, die das originale Bitcoin-Netzwerk nicht kennt. In diesem Fall lag das Vertrauen bei einer Betreiber-Föderation und der sie steuernden Software. Genau dort öffnete sich die Lücke. Eine ähnliche Dynamik zeigte sich beim Stopp der Fogo-Blockchain nach einem Angriff. Die Lehre: Die Solidität von Bitcoin überträgt sich nicht automatisch auf alles, was um ihn herum gebaut wird.

Die größere Lektion

Der Vorfall bei Liquid Network liefert, unabhängig von seinem Ausgang, eine grundlegende Lektion für das gesamte Krypto-Ökosystem. Er erinnert daran, dass Sicherheit kein monolithischer Block ist, sondern eine Kette aus vielen Gliedern. Die Stärke des stärksten Glieds, des Bitcoin-Netzwerks, garantiert nicht die Stärke der schwächeren Glieder, also der darauf aufgebauten Infrastrukturen. Jede zusätzliche Technologieschicht, so nützlich sie sein mag, schafft auch neue Angriffsflächen und neue Vertrauensvoraussetzungen, die geprüft werden müssen.

Für Anleger und Beobachter ist die Lektion zweigeteilt. Einerseits lädt dieser Fall dazu ein, die Versprechen der auf Bitcoin aufgebauten Infrastrukturen kritisch und informiert zu betrachten: Ihre Sicherheit muss für das bewertet werden, was sie ist, nämlich als eigenständiges System mit eigenen Risiken, und nicht einfach als von Bitcoins Ruf geerbt. Andererseits zeigt der Vorfall einmal mehr, dass im Krypto-Bereich die häufigsten Schwachstellen nicht in der Basiskryptografie liegen, die fast immer solide ist, sondern in der Software, den Implementierungen und den von Menschen konstruierten Vertrauensmodellen. Dort nisten sich Bugs und Angriffsvektoren ein. Wer sich im Ökosystem sicher bewegen möchte, muss verstehen, dass neben der Stabilität von Bitcoin sehr viel fragileree Infrastrukturen existieren, als ihr Bezug zu Bitcoin vermuten lässt. Für alle, die bei den Grundlagen starten wollen, bleibt der Leitfaden zu Bitcoin und Kryptowährungen eine gute Anlaufstelle.