Rund zehn Tage nach dem spektakulären Angriff auf das Liquid Network ist der entscheidende Teil des Falls weiterhin ungelöst. Der Angreifer hat zwar 3.400 BTC zurückgegeben, hält aber noch rund 598,5 BTC unter seiner Kontrolle. Bislang gibt es keinen belastbaren Hinweis darauf, dass diese Bitcoin an eine Börse, einen Mixer oder eine andere externe Wallet weitergeleitet wurden.
Das ist angesichts der Größenordnung bemerkenswert. Bitcoin handelt am 16. September bei ungefähr 75.800 US-Dollar, womit die ausstehenden Coins derzeit rund 45 Millionen US-Dollar wert sind.
Die 598,5 BTC wurden bisher nicht bewegt
Die entscheidende Adresse lautet:
bc1ql4mfu6aundtkksxklfajs2h3t9nzcd6gyqjlte
Am 7. September transferierte diese Adresse in Bitcoin-Block 965.950 exakt 3.400 BTC zurück an die Liquid-Federation. Gleichzeitig gingen 598,49955894 BTC als Wechselgeld zurück an die vom Angreifer kontrollierte Adresse. Die Transaktion ist eindeutig auf Bitcoin nachvollziehbar.
Seitdem muss allerdings zwischen zwei Arten von „Bewegung“ unterschieden werden.
Die Wallet wurde zwischenzeitlich für weitere On-Chain-Nachrichten verwendet. Dabei wurden UTXOs teilweise ausgegeben und wieder an dieselbe Adresse zurückgeschickt. Das bedeutet aber nicht, dass die rund 598,5 BTC tatsächlich abtransportiert wurden.
Eine direkte Überprüfung der Blockchain-Daten vom 14. September ergab einen Bestand von 598,50463001 BTC. Der leichte Zuwachs gegenüber der ursprünglichen Restmenge stammt demnach aus kleinen Dust-Zahlungen und Nachrichten fremder Nutzer. Ein Abfluss der eigentlichen rund 598,5 BTC wurde nicht festgestellt.
Damit hat sich Samson Mows spieltheoretisches Argument bisher zumindest faktisch bestätigt: Die Coins befinden sich weiterhin an einer weltweit beobachteten Position und wurden nicht sichtbar in Richtung Börsen oder Mixing-Infrastruktur bewegt.
Letzte geheime Nachrichten – danach änderte Blockstream die Strategie
Interessant ist auch die Kommunikation zwischen den Parteien.
Am 9. September verschärfte der Angreifer öffentlich seine Forderung. In einer OP_RETURN-Nachricht verlangte er eine 10-prozentige Bug-Bounty aus Blockstreams eigenen Mitteln. Gleichzeitig stellte er die verbleibenden rund 15 % der entnommenen Bitcoin als möglichen Verlust für die Nutzer dar, sollte Blockstream nicht zahlen. Außerdem kündigte er an, später den Schlüssel zur Entschlüsselung der zuvor privaten Kommunikation zu veröffentlichen.
Dieser Schlüssel ist nach dem öffentlich auffindbaren Stand bislang nicht veröffentlicht worden. Blockstream antwortete jedoch weiter.
Am 10. September wurden mindestens zwei weitere Nachrichten On-Chain hinterlegt, deren PGP-Signaturen mit Blockstreams veröffentlichtem Security-Key verifiziert werden konnten. Sie wurden um 02:18 UTC beziehungsweise 21:48 UTC bestätigt. Die eigentlichen Nachrichten waren verschlüsselt und können deshalb öffentlich nicht gelesen werden.
Entscheidend ist, was danach nicht passiert ist: Vom Angreifer ist seit seiner Forderung vom 9. September keine neue eindeutig authentifizierbare Antwort dokumentiert worden. Eine Überprüfung vom 14. September fand nach Blockstreams letzter signierter Nachricht ebenfalls keine neue signierte Kommunikation der Gegenpartei.
Damit scheint die direkte On-Chain-Verhandlung derzeit eingefroren zu sein.
Blockstream zahlt nicht – jetzt steigt der Druck auf den Angreifer
Am 11. September ging Blockstream schließlich öffentlich in die Offensive.
Das Unternehmen erklärte, es werde kein Lösegeld für die Rückgabe der gestohlenen Bitcoin zahlen. Das Zurückhalten fremder Vermögenswerte sei kein Responsible Disclosure und keine White-Hat-Aktivität, sondern Diebstahl.
Sollten die Bitcoin nicht freiwillig zurückgegeben werden, will Blockstream nach eigenen Angaben mit Strafverfolgungsbehörden, Krypto-Börsen, Dienstleistern und Blockchain-Forensikern zusammenarbeiten, um die Coins zu verfolgen und die Verantwortlichen zu identifizieren.
Für den Angreifer verändert das die Situation deutlich. Eine Auszahlung der kompletten 598,5 BTC über regulierte Börsen dürfte extrem auffällig sein. Gleichzeitig bleibt die gesamte Historie der Coins dauerhaft auf Bitcoin gespeichert. Blockstream hat damit öffentlich ausgeschlossen, die geforderte Zahlung einfach zu akzeptieren.
Parallel läuft die technische Wiederherstellung von Liquid weiter. Blockproduktion und normale Liquid-Transaktionen wurden am 10. September wieder aufgenommen. Peg-outs zurück zu nativem Bitcoin bleiben jedoch weiterhin deaktiviert, während an der vollständigen Wiederherstellung der BTC/L-BTC-Deckung und zusätzlichen Sicherheitsmaßnahmen gearbeitet wird.
SideSwap hat Peg-ins inzwischen wieder geöffnet, Peg-outs bleiben jedoch geschlossen.
Damit bleibt die entscheidende Marke unverändert: 598,5 BTC.
Solange diese Coins nicht zurückgegeben oder von Blockstream beziehungsweise der Federation anderweitig vollständig ersetzt werden, ist die Recovery nicht abgeschlossen. Noch wichtiger für den weiteren Verlauf ist jetzt jedoch die Adresse des Angreifers: Der erste echte Transfer dieser rund 598,5 BTC an eine externe Wallet wäre die nächste entscheidende Eskalation.
