リキッド準備金ウォレットから約4000BTC流出 自称「ホワイトハット」が大半を返還意向も、素性に疑義

リキッドの準備金ウォレットが侵害

ブロックストリーム社が開発を主導するブロックチェーン「リキッドネットワーク（Liquid Network）」は7日、ホワイトハットハッカーを自称する者たちが、連合体（フェデレーション）が管理する準備金ウォレットから約4,000BTC（約3億2,000万ドル、約499億円相当）を引き出したと発表した。公式は流出自体をセキュリティインシデントとして認める一方、ホワイトハットを名乗る点については「自称」と表記し、断定を避けている。

現在、ブロックストリーム社のチームが署名付きメッセージを用いて、オンチェーン上でハッカーとの連絡を試みている。チームは、現時点で判明しているのは、資金がSideSwap（リキッド上のウォレット兼分散型取引所、リキッド連合体のメンバーでもある）のペグアウト承認キー（PAK）を介して引き出されたことだと指摘した。当該キーやその他のキーが侵害されたわけではないと説明している。

各取引所には通知済みであり、ビットコイン（BTC）をリキッド上で表現した資産「LBTC」の入出金はすでに停止されているか、あるいは順次停止される予定だとしている。USDT、DePix、RWA（現実資産）トークンといった他のリキッドの資産は、今回の出来事の影響を受けていないという。

ビットコインとリキッドを繋ぐブリッジノードは一時的に無効化されており、リキッドでの新規トランザクションは行えない状態だ。今回の問題が解決するまで、リキッドは停止状態となる。また、リキッドの資産を扱うウォレットも影響を受けることになる。

リキッドの資産を扱うウォレットの一つである「Aqua」を開発するJAN3社のサムソン・モウ（Samson Mow）創設者兼CEOは、現在進行中でセキュリティインシデントの解決に向けた作業が行われており、Aquaのリキッド関連機能が影響を受けていると述べた。ビットコイン取引は通常通りに行われていると続ける。

「ホワイトハット」名乗りに疑義

ハードウェアウォレット企業Ledgerのシャルル・ギルメ最高技術責任者（CTO）は、犯人が「ホワイトハット」と名乗ったことについて疑問を呈した。ホワイトハットがブリッジから資金を抜き取り、その上でオンチェーンでの連絡を求めるようなことは通常ないと述べる。

ただし、通常の犯罪組織が被害者に自ら連絡を取ろうとすることもまずないため、希望もあると続けた。最近のLLM（大規模言語モデル）を試していたものの、責任ある開示の手順に不慣れな、善意の人々だったという可能性もあるとしている。

ギルメ氏は、2022年に人気NFTゲームAxie Infinity（アクシーインフィニティ）専用のブロックチェーン「Ronin Network」でバリデータの鍵が侵害され、約6億2,500万ドル相当が盗まれた事件との類似性も指摘した。ただしブロックストリーム側は鍵の侵害を否定しており、原因の説明は両者で食い違っている。

原因は未開示、返還も未確定

名乗り側はオンチェーン上で、バグの修正を確認した後に資金を返すという趣旨のメッセージを残したと報じられている。ブロックストリーム側が返還を確認したとする発表は、7日時点では出ていない。抜き取られたのは準備金の大半とみられ、LBTCとビットコインを交換するペグ機能は事実上止まっている。

ブロックストリームの日本アンバサダーを務める東晃慈氏は、リキッドの準備金が複数の事業者による多重署名（マルチシグ）で管理されている点を挙げ、鍵がまとめて盗まれて一括送金されたという筋書きでは説明しづらいとの見方を示した。公式もキーは侵害されていないと説明しており、正規の手続きに見えるペグアウトが通ってしまった可能性が論点になる。ただし公式はバグの種類そのものを開示していない。

今回停止しているのはリキッドのサイドチェーン側であり、ビットコインのブロックチェーン自体に欠陥が確認されたわけではない。一方で、資金が戻った場合でも、準備金の大半が外部のアドレスへ移り、ネットワークが停止した事実は残る。プロダクトとしての信頼回復は返還の有無だけでは決まらない。