Der spektakuläre Liquid-Hack ist offenbar noch nicht vorbei. Nachdem die selbst ernannten White-Hat-Hacker am Montag 3.400 Bitcoin an die Liquid Federation zurückgeschickt hatten, ging der Austausch mit Blockstream weiter. Besonders auffällig: Nach mehreren verschlüsselten Nachrichten schickten die Angreifer am Montagabend die ungewöhnliche Klartextbotschaft „:(“. Doch selbst damit endete der Dialog offenbar nicht.
Neue On-Chain-Aktivitäten deuten darauf hin, dass die Hacker und Blockstream auch danach wieder verschlüsselte Nachrichten ausgetauscht haben. Damit rücken die verbliebenen 598,5 BTC erneut in den Mittelpunkt. Bei einem aktuellen Bitcoin-Kurs von rund 78.400 US-Dollar geht es weiterhin um knapp 47 Millionen US-Dollar.
Nach der Rückgabe von 3.400 BTC begann die nächste Runde
Eigentlich sah es am Montag zunächst so aus, als hätte der ungewöhnliche Vorfall seinen vorläufigen Abschluss gefunden. Wie BitcoinBasis bereits berichtete, hatten die Angreifer nach einem mehrstündigen On-Chain-Dialog exakt 3.400 BTC an die Liquid Federation zurückgeschickt. Zuvor hatten sie fast 4.000 BTC aus der Federation Wallet abgezogen und erklärt, sie seien White-Hat-Hacker.
Der entscheidende Punkt dabei: Sie hatten nie versprochen, sämtliche Bitcoin zurückzugeben. In einer öffentlichen OP_RETURN-Nachricht war ausdrücklich davon die Rede gewesen, „most“, also den Großteil der BTC, zurückzuschicken.
Genau das geschah. 3.400 BTC gingen zurück. Rund 598,5 BTC blieben bei den Angreifern. Öffentlich wurde bislang jedoch nicht bestätigt, dass diese Summe tatsächlich eine mit Blockstream vereinbarte Bug-Bounty darstellt. Doch nur kurze Zeit nach der Rückzahlung begann bereits die nächste Kommunikationsrunde.
On-Chain-Beobachter dokumentierten, dass die Hacker etwa zehn Minuten nach der 3.400-BTC-Transaktion erneut eine verschlüsselte Nachricht an Blockstream schickten. Blockstream antwortete wiederum mit einer PGP-signierten und verschlüsselten Botschaft. Weitere Nachrichten folgten. Zu diesem Zeitpunkt lagen die 598,5 BTC weiterhin auf der vom Angreifer kontrollierten Seite.
Der Inhalt dieser Nachrichten ist für Außenstehende nicht lesbar. Genau das macht die Entwicklung so brisant.
Erst „:(“, dann offenbar wieder verschlüsselte Nachrichten
Im weiteren Verlauf tauchte schließlich eine Nachricht auf, die sich deutlich von den vorherigen PGP-Blöcken unterschied. Die Hacker schickten öffentlich lediglich:
„:(“
Was genau der traurige Smiley bedeuten sollte, ist unbekannt. Denkbar wäre, dass es bei den Gesprächen zu Unstimmigkeiten gekommen ist. Ebenso könnte sich die Nachricht auf technische Details, die weitere Rückgabe der Bitcoin oder andere Bedingungen beziehen. Ohne Zugriff auf die verschlüsselten Nachrichten lässt sich keine dieser Varianten bestätigen.
Deshalb wäre es voreilig, aus dem „:(“ abzuleiten, Blockstream habe beispielsweise eine geforderte Bug-Bounty abgelehnt. Interessant ist vielmehr, was danach passierte.
Nach neuen Beobachtungen von Galaxy Research und Alex Thorn scheint der Austausch nicht abgebrochen zu sein. Auch nach der Klartextnachricht wurden weitere verschlüsselte Transaktionen beziehungsweise Nachrichten zwischen den beteiligten Adressen beobachtet. Thorn berichtete zuletzt erneut über eine Hacker-Transaktion an Liquid mit verschlüsseltem Text, die sich zunächst noch im Bitcoin-Mempool befand.
Damit spricht inzwischen einiges dafür, dass zwischen den Parteien weiterhin kommuniziert wird. Worüber, bleibt allerdings geheim. Und genau deshalb sind die verbliebenen 598,5 BTC weiterhin der entscheidende offene Punkt.
598,5 Bitcoin entscheiden, ob die Geschichte wirklich vorbei ist
Blockstream und die Liquid Federation arbeiten parallel bereits daran, das Netzwerk wieder in einen normalen Zustand zu bringen.
In einem aktuellen Update erklärte Blockstream, dass aktualisierte Software ausgerollt worden sei und die Mitglieder der Federation einen koordinierten Neustart vorbereiteten. Gleichzeitig arbeite man weiter daran, das Netzwerk zusätzlich abzusichern.
Nach dem zuletzt bestätigten Stand blieb Liquid zunächst pausiert. Samson Mow erklärte zudem, dass rund 598 BTC weiterhin ausstehen und Blockstream den Kontakt mit den selbst ernannten White-Hat-Hackern fortsetzt. Neben weiteren Sicherheitsmaßnahmen müsse auch der entstandene Chain Split bereinigt werden, bevor das Netzwerk sicher neu gestartet werden könne. Nutzer sollten bis zu einer offiziellen Bestätigung keine Bitcoin an Liquid-Peg-in-Adressen senden.
Für Liquid ist die Rückkehr der 3.400 BTC zwar eine enorme Entlastung. Vollständig abgeschlossen ist der Vorfall dadurch aber nicht.
Noch immer ist öffentlich ungeklärt, ob die restlichen 598,5 BTC zurückgezahlt werden, ob Blockstream deren Verbleib akzeptiert oder ob hinter den verschlüsselten Nachrichten ganz andere technische oder rechtliche Fragen verhandelt werden.
Auch die Bezeichnung „Bug-Bounty“ bleibt deshalb bislang eine Interpretation und keine bestätigte Vereinbarung. Für die nächsten Stunden und Tage sind damit drei Punkte entscheidend: Kommt es zu einer weiteren Bewegung der 598,5 BTC, bestätigt Blockstream eine Einigung mit den Hackern und wann erhält Liquid offiziell grünes Licht für den vollständigen Neustart?
Solange diese Fragen offen sind und die verschlüsselten Nachrichten weiterlaufen, ist die außergewöhnliche Liquid-Geschichte noch nicht beendet.
Auf dem Laufenden bleiben?
