Hackers stelen 4.000 Bitcoin met tegoedbonnen: ‘legt kritieke zwakte bloot’

Cryptobeurzen leunen op een handvol netwerken om snel met elkaar af te rekenen. Bij een van de bekendste is zondag door een Bitcoin-hack bijna de hele voorraad verdwenen, en het netwerk ligt sindsdien stil.

De daders zeggen dat ze het goed bedoelen en willen alles teruggeven. Beveiligingsexperts geloven daar weinig van.

Een bug drukte Bitcoin bij

Liquid Network raakte zo’n 4.000 van de 4.200 Bitcoin (BTC) kwijt uit de portemonnee van zijn federatie, een groep van ruim 80 beurzbien en bedrijven. Dat komt neer op een bedrag van ongeveer 320 miljoen dollar. Het netwerk ligt sindsdien stil.

Een zijketen als Liquid zet echte Bitcoin vast en geeft daar L-BTC voor terug, een tegoedbon die veel sneller te versturen is. Beurzen zoals Bitfinex en BTSE rekenen er onderling mee af, omdat de hoofdketen vaak traag en duur is.

Blockstream, dat het netwerk in 2018 opzette, wijst naar een fout in zijn eigen software Elements. Daardoor kon een deel van die L-BTC ontstaan zonder echte munten erachter.

Het uitbetalen liep via SideSwap, een platform dat daar toestemming voor heeft. De sleutel was niet gestolen. SideSwap kon de valse munten niet van de echte onderscheiden en betaalde alles dus gewoon uit.

Zijn dit goede hackers?

Dat is nog maar de vraag. De daders noemen zich white hat hackers, inbrekers die een lek blootleggen en het geld teruggeven tegen een vergoeding. Via berichten in Bitcointransacties beloven ze terug te betalen zodra de bug is gedicht.

Charles Guillemet, technisch directeur van hardwarewallet-maker Ledger, gelooft daar weinig van. Wie het goed bedoelt meldt een lek eerst, in plaats van honderden miljoenen weg te halen en daarna om een gesprek te vragen.

Aneirin Flynn, topman van beveiligingsbedrijf FailSafe, ziet een dieper probleem.

“Met ongeveer 95 procent van de reserves leeggetrokken en het netwerk gepauzeerd legt het incident een kritieke zwakte bloot in het validatie- en dekkingsmodel van Liquid”, zegt hij tegen Bloomberg.

L-BTC hangt aan een zijden draadje

Achter alle uitstaande tegoedbonnen staat nu nog ruim 200 Bitcoin. Dat is zo’n 5 procent van de dekking van vorige week, en inwisselen kan voorlopig niet.

De Bitcoin koers zelf trok zich er weinig van aan en schommelt tussen 79.000 en 80.000 dollar. De schade zit in het vertrouwen in bruggen tussen ketens, en die rij hacks wordt langer.

Blockstream heeft niet gezegd wanneer het netwerk weer opengaat. Blijven de munten weg, dan houden L-BTC-houders een bon over die voor 95 procent leeg is.