Liquid Ağı'nda Rangeproof Önbellek Hatası ~4.000 BTC Kaybına Neden Oldu

6 Eylül 2026'da bir saldırgan, Blockstream'in Liquid yan zincirinin temelini oluşturan açık kaynaklı Elements kod tabanındaki on yıllık bir önbellekleme hatasından yararlanarak tek bir işlemle yaklaşık 4.000 karşılıksız LBTC bastı. Hata, 2018 yılında yapılan bir kod değişikliğine kadar uzanıyor; bu değişiklik rangeproof önbellek anahtarından varlık taahhüdü (asset commitment) ve scriptPubKey bilgilerini çıkararak, daha önce doğrulanmış bir kanıtın geçerli olmadığı bir bağlamda yeniden kullanılmasına yol açtı ve functionary node'lar sahte işlemi kabul etti.

Saldırgan ardından sahte LBTC'yi, peg-out yetkisine sahip bir federasyon üyesi olan SideSwap üzerinden zincir dışına çıkararak Liquid'in zincir üstü BTC rezervini yaklaşık 4.205 BTC'den 197 BTC'ye düşürdü. Blockstream saatler içinde genel köprü node'larını durdurdu; müzakerelerin ardından saldırgan 3.400 BTC'yi iade etti, geriye yaklaşık 602 BTC kurtarılamadan kaldı. Birkaç gün içinde sertleştirilmiş bir sürüm olan Elements v23.3.4 yayımlandı.

Bu olay, federasyon tabanlı veya gizli işlem mimarisi kullanan zincirler üzerinde çalışan mühendisler için önemli bir ders: 2018'de yapılan, güvenlik açısından işaretlenmemiş küçük bir optimizasyon, birden fazla denetimden ve 2019'daki bir yeniden yapılandırmadan sağ çıkarak yıllar sonra istismar edilebilir hale geldi. Bu durum, kriptografik doğrulama etrafındaki önbellekleme optimizasyonlarının uzun kod ömürleri boyunca konsensüs güvenliğini sessizce aşındırabileceğini gösteriyor.