[NEWS] 4,000 BTC Liquid Network baru saja terkena drain oleh White Hackers

[ryzaadit]

Pada tanggal 6 September 4,000 dari 4,200 BTC yang berada pada wallet Liquid Federation dari Liquid Network terkena drain. Nasib baiknya seseorang yang melakukan drain dari wallet mereka merupakan White Hacker. Pada saat melakukan drain, mereka meninggalkan pesan melalui on-chain dengan pesan OP_RETURN dalam transaksi hash: c103de95817b43f2df635ec6f35ff126ca26a7c6d20570c4b01866b2b3e69a19.



Informasi yang diketahui saat ini,bahwasannya:
[1] Penarikan/Drain dilakukan melalui SideSwap PAK (Peg-out Authorization Key)
[2] Liquid Network sudah melakukan klaim bahwasannya key tersebut tidak dibobol begitu juga key² yang lainnya
[3] Aset Liquid Lainnya seperti: USDT, DePix, and RWAs tidak terkena efek dari kejadiaan ini
[3] Team dari Liquid Network & Blockchain Terkemuka saat ini sedang melakukan komunikasi dengan White Hacker

Dari kasus ini, beberapa layanan Liquid Network yang dihentikan yaitu:
[1] LBTC Deposit & Withdraw.
[2] Node Bridge saat ini diberhentikan sementara.
[3] Dompet dari Liquid sepertinya akan terdampak.
[3] Liquid sidechain saat ini diberhentikan sementara sampai masalah diselesaikan.

Source: https://x.com/Liquid_BTC/status/2096696272447218108


Alur komunikasi baik dari pihak Liquid Network, Tim Blockchain terkemukan dengan White Hacker sedang terjadi.
[1] Pihak dari Blockstream mengirimkan pesan kepada White Hacker untuk menghubungi mereka.
Hash TX: https://mempool.space/tx/91271efcbb5ab29abfc38ae635f0644e3ba042aad56f92d40136e1dde4742fe8


[2] Pihak dari Blockstream mengirimkan pesan yang terenkripsi dengan menggunakan Electrum BIE1 ECIES kepada pihak White Hackers.
Hash TX: https://mempool.space/tx/bd81219691eb1e22475c5985d847fa888c38f1b6d2cb2b7193f54d0cfa72394c


[3] Pihak White Hackers merespon pesan akan megirimkan BTC tersebut ke address: bc1qdlld6antmv4xug242ed83q7k4rqw50cwfns38szx4qu2f4jwaxxsuhwxxr jika tidak masalah sama sekali dari pihak Team Liquid/Blockchair.
Hash TX: https://mempool.space/tx/3a3eac4a26395b8c2563aaf1eb8b1b77798c81c7d6337f51321827a244a480aa


[4] Pihak White Hackers kembali merespon agar pihak dari Liquid Network & Blockchair untuk melakukan perbaikan terkait bug yang saat ini terjadi, dan memastikan semua sudah aman kemudian akan memproses pengembalian dana apabila semua sudah dipastikan aman.
Hash TX: https://mempool.space/tx/83825b2135dd0abac12c9dfe17f29ab81b3427e1ae864947b0bebce5e47c3c4b


[5] Pihak dari Blockhair merespon request dari Pihak White Hackers "Yes thank you".
Hash TX: https://mempool.space/tx/8a444eed65c4584f138e08ee138f61490ef73e84f71e14dac3ca66c230cf7e97



Progress saat ini masih berlanjut, dan semoga saja permasalahan dari kasus ini bisa diselesaikan dengan happy ending.

[mu_enrico]

Kasus Liquid Network ini adalah kasus yang nyeleneh karena setau ane white hat hacker itu tugasnya melakukan penetration testing (pentest) dan sebagainya yang tidak sampai mengosongkan dompet dan "menyandera" isinya...

Apakah bisa berakhir dengan damai kalau dari segi hukum juga menjadi pertanyaan, karena pemindahan aset sudah terjadi, dan juga ada unsur menahan aset sebagai leverage. Ini nanti kalau bug sudah dibenerin apakah ada jaminan dikembalikan dananya? Terakhir ane baca berita ini duitnya juga belum dikembalikan, belum juga ada kejelasan berapa yang akan dikembalikan... hmm...

[ryzaadit]

-snip-
Apakah bisa berakhir dengan damai kalau dari segi hukum juga menjadi pertanyaan, karena pemindahan aset sudah terjadi, dan juga ada unsur menahan aset sebagai leverage. Ini nanti kalau bug sudah dibenerin apakah ada jaminan dikembalikan dananya? Terakhir ane baca berita ini duitnya juga belum dikembalikan, belum juga ada kejelasan berapa yang akan dikembalikan... hmm...

Terdapat kasus menarik untuk pertanyaan om.

Jadi, kita bisa melihat dari kasus eksploitasi yang dilakukan oleh Avraham Eisenberg kepada Mango Markets di tahun 2022. Untuk kasus exploitasinya saya copy-paste secara menyeluruh dari article biar lebih cepat saja:

On October 11th, a cryptocurrency trader named Avraham Eisenberg executed a series of trades that were designed to:

Pump the price of the Mango (MNGO) token
Profit from this pump,
Borrow $116 million against these (unrealized) profits, then
Withdraw those funds from Mango Markets.

The exploit was a textbook example of cross-market manipulation. Within ten minutes of opening a massive Mango perpetual futures position, Eisenberg bought $4 million worth of MNGO on three separate exchanges, pumping its oracle-reported price by 2,300 percent.

Source: https://www.soliduslabs.com/post/mango-hack


Setelah melakukan perundingan dan berakhir dengan pengembalian dana sejumlah 67 juta USD kepada Mango Markets dan Avraham Eisenberg mendapatkan 47 juta USD. Apakah beliau aman sentosa ? ternyata tidak.
Hanya berselang 2 bulan, beliau di tangkap oleh FBI pada tanggal 26 December 2022. Dilansir dari Dapartmen Of Justice, Avraham Eisenberg di dakwa dengan 3 tuduhan yaitu:
- Penipuan komoditas
- Manipulasi pasar komoditas
- Penipuan melalui sarana elektronik
Source: https://www.justice.gov/archives/opa/pr/man-convicted-110m-cryptocurrency-scheme

Dari kasus exploitasi ini walau si Avraham Eisenberg mengembalikan dana beliau masih bisa di tangkap karena memang terdapat pihak ke-3 yang dirugikan yaitu Para Investor/Trader saat dia melakukan exploitasi.

Untuk kasus Liquid Network pihak ke-3 yang dirugikan yaitu para investor L-BTC karena tanpa dana tersebut mereka tidak ada jaminan asset untuk L-BTC yang mereka pegang. Menurut saya pribadi, apabila dari pihak White Hacker mengembalikan 100% dana tersebut dan dia menerima hadiah bounty yang tidak diambil dari dana tersebut melainkan dari Liquid Network seharusnya sih bisa saja tidak ada masalah sama sekali. Karena pihak ke-3 yang dirugikan sudah tidak ada, dan beliau menerima hadiah yang tidak diambil dari dana tersebut.

Cuman tetep aja dag-dig-dug takutnya tiba2 pintu di dobrak ama FBI, pasti dari contoh kasus ini White Hacker akan stay underground dan tetep melakukan mixing dari hadiah yang dia terima untuk mencegah mengalami nasib yang sama walau dari exploitasi dia tidak ada pihak ke-3 yang dirugikan.

[Chikito]

Kasus Liquid Network ini adalah kasus yang nyeleneh karena setau ane white hat hacker itu tugasnya melakukan penetration testing (pentest) dan sebagainya yang tidak sampai mengosongkan dompet dan "menyandera" isinya...

Jadinya "grey hacker", zona abu-abu, hehehe. entah apa pamer power atau keahlian, yang pasti cukup menganggu si ceo blockstream dan investor tersendiri.

Dan kabarnya mereka telah "mengembalikan sebagian" dari 3998 BTC tersebut, telah dikembalikan 3400 BTC, entah kenapa si grey hacker ini masih nyimpen 598 BTC [1]. Kalau memang mereka melakukan testing celah keamanan, seharusnya dikembalikan semua, biar blockstream yang kasih imbalan, tapi mereka masih menyisakan ini (atau mungkin reward langsung), atau mau bikin deal-dealan lagi supaya jangan ditangkap.


https://x.com/pete_rizzo_/status/2096998803970687059

[1]. https://mempool.space/address/bc1ql4mfu6aundtkksxklfajs2h3t9nzcd6gyqjlte

[Husna QA]

-snip-
Apakah bisa berakhir dengan damai kalau dari segi hukum juga menjadi pertanyaan, karena pemindahan aset sudah terjadi, dan juga ada unsur menahan aset sebagai leverage. Ini nanti kalau bug sudah dibenerin apakah ada jaminan dikembalikan dananya? Terakhir ane baca berita ini duitnya juga belum dikembalikan, belum juga ada kejelasan berapa yang akan dikembalikan... hmm...

Terdapat kasus menarik untuk pertanyaan om.

Jadi, kita bisa melihat dari kasus eksploitasi yang dilakukan oleh Avraham Eisenberg kepada Mango Markets di tahun 2022. Untuk kasus exploitasinya saya copy-paste secara menyeluruh dari article biar lebih cepat saja:
—snip—
Setelah melakukan perundingan dan berakhir dengan pengembalian dana sejumlah 67 juta USD kepada Mango Markets dan Avraham Eisenberg mendapatkan 47 juta USD. Apakah beliau aman sentosa ? ternyata tidak.
Hanya berselang 2 bulan, beliau di tangkap oleh FBI pada tanggal 26 December 2022. Dilansir dari Dapartmen Of Justice, Avraham Eisenberg di dakwa dengan 3 tuduhan yaitu:
- Penipuan komoditas
- Manipulasi pasar komoditas
- Penipuan melalui sarana elektronik
Source: https://www.justice.gov/archives/opa/pr/man-convicted-110m-cryptocurrency-scheme

Tiga tuduhan di atas apakah memang terkait langsung dengan kasus exploitasi yang sudah dia kembalikan dananya tersebut atau kasusnya terpisah yang mana memang ada bukti dia melakukan semua hal yang dituduhkan tersebut?

Untuk kasus Liquid Network pihak ke-3 yang dirugikan yaitu para investor L-BTC karena tanpa dana tersebut mereka tidak ada jaminan asset untuk L-BTC yang mereka pegang. Menurut saya pribadi, apabila dari pihak White Hacker mengembalikan 100% dana tersebut dan dia menerima hadiah bounty yang tidak diambil dari dana tersebut melainkan dari Liquid Network seharusnya sih bisa saja tidak ada masalah sama sekali. Karena pihak ke-3 yang dirugikan sudah tidak ada, dan beliau menerima hadiah yang tidak diambil dari dana tersebut.

Cuman tetep aja dag-dig-dug takutnya tiba2 pintu di dobrak ama FBI, pasti dari contoh kasus ini White Hacker akan stay underground dan tetep melakukan mixing dari hadiah yang dia terima untuk mencegah mengalami nasib yang sama walau dari exploitasi dia tidak ada pihak ke-3 yang dirugikan.

Menurut opini saya, jika imbas dari niat baik pengembalian dana tersebut (yang memang peretasan awalnya tidak diniatkan untuk 'mencuri') malah berujung di proses hukum, nantinya malah bisa mengundang white hacker lain tidak bakalan mau lagi bekerja sama mengembalikan apapun ketika ada kasus bug serupa yang ditemukan kemudian.

Bukankah malah mestinya diajak kerjasama semisal jadi konsultan keamanan atau semisalnya untuk meminimalisir peretasan dari hacker yang memang murni untuk kejahatan?

[mu_enrico]

Jadinya "grey hacker", zona abu-abu, hehehe. entah apa pamer power atau keahlian, yang pasti cukup menganggu si ceo blockstream dan investor tersendiri.

Niatnya nyolong tapi takut diburu polisi...
Harusnya ya, kalau white hat hacker: notifikasi ke blockstream kalau ada celah keamanan, kalau concern dengan dana yang diambil pihak lain ya bilang di awal kalau dana diamankan ke address x, dan akan dikembalikan ke address yang ditentukan blockstream
Kalau ini: duitnya dikuras dulu, notifikasi belakangan, menjadikan BTC sebagai leverage (istilahnya menyandera).

Tindakan yang seperti ini berpotensi kena delik pidana biasa (bukan aduan), jadi meskipun duitnya dikembalikan dan tidak ada aduan, tetap bisa kena pidana (dalam teori). Tapi dalam praktiknya bisa saja case closed dengan upeti 598 BTC.

Mau tetap kena pidana atau tidak ada plus minusnya:
- kalau kena pidana ya seperti yang agan Husna bilang "mengundang white hacker lain tidak bakalan mau lagi bekerja sama mengembalikan apapun ketika ada kasus bug serupa yang ditemukan kemudian"
- tapi kalau tidak kena pidana maka model kuras dulu notifikasi belakangan plus "maksa" upeti akan menjadi lazim di kasus serupa.

[ryzaadit]

Tiga tuduhan di atas apakah memang terkait langsung dengan kasus exploitasi yang sudah dia kembalikan dananya tersebut atau kasusnya terpisah yang mana memang ada bukti dia melakukan semua hal yang dituduhkan tersebut?

Kebetulan berhubungan satu sama lain, karena sebelum melakukan peminjaman aset kripto beliau melakukan manipulasi pasar terlebih dahulu dengan bermodalkan lebih dari 10 Juta USD.

• Melakukan pembelian kontrak berjangka terlebih dahulu (Future Trade)
• Kemudian melakukan kenaikan harga $MNGO di beberapa Exchange
• Keuntungan dari kontrak berjangka yang dia beli sebelumnya digunakan sebagai jaminan peminjaman, dan beliau melakukan penarikan aset kripto dari peminjaman yang dia lakukan.

Menurut opini saya, jika imbas dari niat baik pengembalian dana tersebut (yang memang peretasan awalnya tidak diniatkan untuk 'mencuri') malah berujung di proses hukum, nantinya malah bisa mengundang white hacker lain tidak bakalan mau lagi bekerja sama mengembalikan apapun ketika ada kasus bug serupa yang ditemukan kemudian.

Bukankah malah mestinya diajak kerjasama semisal jadi konsultan keamanan atau semisalnya untuk meminimalisir peretasan dari hacker yang memang murni untuk kejahatan?

Bisa menggunakan cara yang lebih elegan sih om, karena kalau sampai melakukan pemindahan aset ke dompet pribadi si hacker. Aset yang dipindahkan bisa dijadikan sebagai leverage dalam negosiasi seperti yang kata om @mu_enrico bilang. Jadi yah negosiasi pun memang gak ada pilihan lain buat mengikuti dari si-hacker.

Cara elegan yang saya maksud:

• Menghubungi pihak Liquid Network bahwasanya terdapat bug dengan prioritas kritikal
• Tidak perlu menjelaskan bugs secara terbuka, karena bugs masuk dalam kategori kritikal. Ditakutkannya adanya insider.
• Kemudian setelah diskusi, negosiasi dan ketemu kesepakatan bisa dilanjutkan ke penetration testing dengan menggunakan bahan yang telah disediakan
• Jadi walau terjadi pemindahan aset, masih dalam kontrol penuh Liquid Network

Karena kalo merujuk ke definisi "White Hacker" perlu adanya izin dari pihak terkait yaitu (layanan atau organisasi) untuk melakukan penetration testing. Sedangkan ini tidak ada sama sekali.

Niatnya nyolong tapi takut diburu polisi...
Harusnya ya, kalau white hat hacker: notifikasi ke blockstream kalau ada celah keamanan, kalau concern dengan dana yang diambil pihak lain ya bilang di awal kalau dana diamankan ke address x, dan akan dikembalikan ke address yang ditentukan blockstream
Kalau ini: duitnya dikuras dulu, notifikasi belakangan, menjadikan BTC sebagai leverage (istilahnya menyandera).
-snip

Jadinya Gray Hat Hacker ini mah bukan White Hacker
Walau tetep coba diburu, kayaknya masih mending karena address  gak bakal di mark sebagai Liquid Network Hacker dan gak bakal dapet berita yang berisik-berisik banget mengenai alur dana yang akan dikirimkan dari hasil bounty nya.

Dan kabarnya mereka telah "mengembalikan sebagian" dari 3998 BTC tersebut, telah dikembalikan 3400 BTC, entah kenapa si grey hacker ini masih nyimpen 598 BTC [1].

Pertanyaan yang mungkin saya tanyakan untuk teman2, karena 598 BTC diambil si-hacker sebagai bounty secara gak langsung jaminan aset terhadap L-BTC berkurang setidaknya 15%.

Apakah L-BTC bakal dapet masalah undercollateralized (kurangnya jaminan) ?
Apakah Liquid Network bakal dapet masalah defisit di kemudian hari ?

Melihat dari kasus KelpDAO walau mereka berhasil mendapatkan sebagian rsETH tokens mereka kembali. Mereka mengalami masalah defisit dan beberapa layanan DeFi bahkan sampai membuat DeFi United untuk membantu KelpDAO untuk meringankan debts/defisit mereka. Walau untuk kasus Liquid Network tidak separah KelpDAO.

[Chikito]

Tindakan yang seperti ini berpotensi kena delik pidana biasa (bukan aduan), jadi meskipun duitnya dikembalikan dan tidak ada aduan, tetap bisa kena pidana (dalam teori). Tapi dalam praktiknya bisa saja case closed dengan upeti 598 BTC.

Kenapa gak sekalian kayak coldcard gitu?, 4000 btc kan lumayan tuh bawa kabur ke luar angkasa, atau bikin negara sendiri di lautan pasific, hehhehe. Kalau model begini kan dilema sendiri buat si grey hacker ini. Kasus juga sudah terblow up, aparat hukum juga sudah mulai menyoroti hal ini (walau belum ada aduan dari blockstream, misalnya). Kalau memang mau duit sih lgs bilang aja diawal dengan rentan celah keamanan yg sudah mereka temukan.

Dan kabarnya mereka telah "mengembalikan sebagian" dari 3998 BTC tersebut, telah dikembalikan 3400 BTC, entah kenapa si grey hacker ini masih nyimpen 598 BTC [1].

Pertanyaan yang mungkin saya tanyakan untuk teman2, karena 598 BTC diambil si-hacker sebagai bounty secara gak langsung jaminan aset terhadap L-BTC berkurang setidaknya 15%.

Apakah L-BTC bakal dapet masalah undercollateralized (kurangnya jaminan) ?
Apakah Liquid Network bakal dapet masalah defisit di kemudian hari ?

Melihat dari kasus KelpDAO walau mereka berhasil mendapatkan sebagian rsETH tokens mereka kembali. Mereka mengalami masalah defisit dan beberapa layanan DeFi bahkan sampai membuat DeFi United untuk membantu KelpDAO untuk meringankan debts/defisit mereka. Walau untuk kasus Liquid Network tidak separah KelpDAO.

ya, L-BTC saat ini masih kekurangan jaminan.

Jaringan blockstream sendiri saat ini dipause untuk memperbaiki keamanan, dan memperbaiki chain split. Dan kalau saya baca sih Bug ada di Elements codebase yang mendasari Liquid Network, celahnya memungkinkan attacker men-generate L-BTC yang tidak di-backup oleh Bitcoin, lalu menggunakannya untuk trigger peg-out yang terlihat valid. Hacker kali ini cukup pintar, dia tidak nyuri key tapi mengeksploitasi mekanisme issuance itu sendiri. [1]

[1]. https://cryptoticker.io/en/liquid-network-peg-out-l-btc-frozen/
[2]. https://bitcoinfoundation.org/news/bitcoin/320m-bitcoin-hack-what-really-happened-to-liquid-network/
[3]. https://cryptopotato.com/liquid-gets-3400-btc-back-but-what-about-the-598-bitcoin-still-missing/

[ryzaadit]

Kenapa gak sekalian kayak coldcard gitu?, 4000 btc kan lumayan tuh bawa kabur ke luar angkasa, atau bikin negara sendiri di lautan pasific, hehhehe. Kalau model begini kan dilema sendiri buat si grey hacker ini. Kasus juga sudah terblow up, aparat hukum juga sudah mulai menyoroti hal ini (walau belum ada aduan dari blockstream, misalnya). Kalau memang mau duit sih lgs bilang aja diawal dengan rentan celah keamanan yg sudah mereka temukan.

Kalau Kayak ColdCard bakal di udek-udek om ampe ke akar² dll wkkwwk.

Kayak gini setidaknya mereka tuh pengen reward besar tapi gak mau bikin banyak keberisikan atau spotlight untuk nantinya buat mereka, kayak pemberitaan yang buruk2 banget atau semacam ngundang banyak Blockchain Terkemuka untuk melakukan pelacakan baik dia maupun alur transaksi dananya.

Yah walau tetep nantinya bakal coba di trace pastinya.

ya, L-BTC saat ini masih kekurangan jaminan.

Penasaran solusi alternativenya nanti gimana, kalau misalkan sisahnya tidak balik.


FYI, biar gak terlalu ribet buat yang mau tau alur komunikasi saat ini dari Blockchair x Liquid Network & Si-Hacker. Saya share menggunakan tools dari Adam Simecka salah satu user X yang ngebuat versi komunikasi antara Blockchair x Liquid Network & Si-Hacker dengan visual layaknya seperti messenger.

Visit: https://liquid-imessage-chat.seen-shield.workers.dev/
All credits to Adam Simecka
Source: https://x.com/AdamSimecka/status/2097381804101750854