Einführung von Abhebungsverzögerungen für Bitcoin-Brücken
Sergio Lerner, Mitbegründer von Rootstock, fordert die Einführung verpflichtender Abhebungsverzögerungen für Bitcoin-Brücken, nachdem etwa 4.000 BTC durch einen unautorisierten Peg-out aus der Föderations-Wallet des Liquid Networks abgezogen wurden. Lerner, der auch Chefwissenschaftler bei RootstockLabs ist, erklärte gegenüber crypto.news, dass eine sofortige Abwicklung einen einzelnen Validierungsfehler in einen Verlust verwandeln kann, bevor die Brückenbetreiber die Möglichkeit haben zu reagieren.
„Ohne eine Zeitverzögerungssperre werden ein einzelner Validierungsfehler und ein Totalausfall zum exakt gleichen Ereignis, weil die Gelder sich bewegen, sobald die Software ‚ja‘ sagt“, sagte Lerner.
Vorfall und Reaktion
Seine Kommentare folgten einem Vorfall, bei dem Akteure ungesicherte L-BTC erzeugten und den Peg-out-Service von SideSwap nutzten, um fast 4.000 BTC aus der Liquid Federation-Wallet abzuheben. Liquid bezeichnete die Akteure als angebliche White-Hat-Hacker, während SideSwap erklärte, dass sein Service die Anfrage bearbeitet habe, da die L-BTC gültig erschienen. Die Akteure gaben später 3.400 BTC zurück, nachdem Blockstream bestätigt hatte, dass die betroffenen Brücken-Knoten gepatcht worden waren. Etwa 598 BTC blieben ausstehend, während Liquid die Blockproduktion wieder aufnahm, ohne Transaktionen oder Peg-Operationen bis zum 10. September wiederherzustellen.
Vorschlag zur Verbesserung der Sicherheit
Lerner betonte, dass eine verpflichtende Verzögerung zwischen der Erstellung der ungesicherten L-BTC und der Freigabe der echten BTC den Schaden hätte verringern können. In einem solchen System würde die Genehmigung durch die Software eine Wartezeit einleiten, anstatt die Abhebung sofort abzuschließen. Automatisierte Überwachungstools könnten den angeforderten Peg-out mit den BTC vergleichen, die die L-BTC absichern, und jede Ungleichheit vor der Abwicklung kennzeichnen.
„Wenn Liquid eine Zeitverzögerungssperre gehabt hätte – bei der Gelder für einen bestimmten Zeitraum nicht bewegt werden können, unabhängig davon, was die Software oder die Betreiber sagen – hätte der Fehler zu einem beherrschbaren Vorfall und nicht zu einer sofortigen, umfassenden Katastrophe geführt.“
Lerner erklärte, dass die Verzögerung den Betreibern ein mehrstündiges Reaktionsfenster gegeben hätte, nachdem die ungesicherten Token erstellt wurden. Überwachungssysteme, die rund um die Uhr laufen, hätten erkennen können, dass der Peg-out die ersten Softwareprüfungen bestanden hat, obwohl die entsprechenden Sicherheiten fehlten.
Technische Details und Mechanismen
Rootstock verwendet bereits einen Verzögerungsmechanismus für BTC-Abhebungen über seinen Zwei-Wege-Peg, obwohl die Konsensregeln von Bitcoin die Wartezeit nicht durchsetzen. Das System beruht auf spezialisierten Hardware-Sicherheitsmodulen, die PowHSMs genannt werden. Bevor ein Peg-out signiert wird, verifizieren die Geräte unabhängig, dass 4.000 Rootstock-Blöcke vergangen sind, was etwa 36 Stunden kumulativen Proof-of-Work entspricht.
Private Schlüssel bleiben laut Lerner in den Geräten, und Funktionäre können die Hardware nicht anweisen, den erforderlichen Zeitraum zu umgehen. Rootstock kombiniert die HSM-Regeln mit Merge-Mining, durch das Bitcoin-Miner Proof-of-Work zur Sidechain beitragen.
„Selbst eine kolludierende Mehrheit der Pegnatoren kann die Gelder nicht stehlen, weil die privaten Schlüssel niemals die PowHSMs verlassen, und die HSMs unabhängig verifizieren, dass 4.000 Rootstock-Blöcke vergangen sind, bevor sie signieren“, sagte Lerner.
Verteilung der Autorität und Sicherheitsmechanismen
Lerner erklärte, dass kompromittierte Funktionäre Peg-Operationen unterbrechen könnten, was ein Liveness-Problem schaffen würde, aber die HSM-Regeln würden sie daran hindern, eine unautorisierte vorzeitige Abhebung zu erzwingen. Wenn Überwachungstools verdächtige Aktivitäten identifizieren, können Funktionäre ihre HSMs abschalten, sodass der ausstehende Peg-out keine Signatur erhält.
„Eine kolludierende Mehrheit kann im schlimmsten Fall den Peg stoppen, aber sie kann keine unautorisierte Abhebung erzwingen“, sagte er.
Das Stoppen einer ausstehenden Abhebung bringt ein weiteres Risiko mit sich, da dieselbe Macht verwendet werden könnte, um legitime Benutzer zu verzögern. Lerner betonte, dass kein einzelnes Unternehmen, Betreiber oder Administrator den Widerrufsmechanismus kontrollieren sollte. Stattdessen sollten unabhängige Funktionäre die Autorität durch eine Mehrparteistruktur teilen, wobei Hardware-Regeln einschränken, was sie tun können.
Schlussfolgerung und zukünftige Entwicklungen
Lerner schlug keine einheitliche Verzögerung für jede Brücke vor, verwies jedoch auf die Anforderung von Rootstock von 4.000 Blöcken als effektive Zeitspanne für die Infrastruktur, die große BTC-Bestände sichert. Derzeit hängt der Schutz von Rootstock von seinen HSMs und der Föderation ab, anstatt von Regeln, die vom Bitcoin-Netzwerk durchgesetzt werden.
Lerner nannte OP_CCV und BIP-443 als Beispiele dafür, wie native Speicher den Benutzern oder benannten Parteien Zeit geben könnten, eine Abhebung nach der Entdeckung gestohlener Anmeldeinformationen, veränderter Software oder eines anderen abnormalen Ereignisses zu stornieren. Die Verlagerung des Mechanismus in den Bitcoin-Konsens würde die Abhängigkeit von brückenspezifischen HSM-Richtlinien verringern, so Lerner.
Für große Brückenabhebungen erklärte Lerner, dass die Verzögerung lange genug dauern sollte, damit automatisierte Warnungen und menschliche Betreiber das Problem identifizieren, die Verarbeitung stoppen und die betroffene Software überprüfen können, bevor die BTC für den Empfänger dauerhaft ausgebbar wird.
