Usulan Penundaan Penarikan Jembatan Bitcoin
Sergio Lerner, co-founder Rootstock, mengusulkan agar jembatan Bitcoin menerapkan penundaan penarikan yang wajib setelah insiden di mana sekitar 4.000 BTC keluar dari dompet federasi Liquid Network melalui peg-out yang tidak sah. Lerner, yang juga merupakan ilmuwan kepala di RootstockLabs, menjelaskan kepada crypto.news bahwa solusi segera dapat mengubah kesalahan validasi tunggal menjadi kerugian besar sebelum operator jembatan memiliki kesempatan untuk merespons. “Tanpa penundaan waktu, satu bug validasi dan kerugian total menjadi peristiwa yang sama persis, karena dana bergerak pada saat perangkat lunak mengatakan ‘ya’,” ungkap Lerner.
Insiden Penarikan BTC yang Tidak Sah
Komentar ini muncul setelah insiden di mana aktor menciptakan L-BTC yang tidak didukung dan menggunakan layanan peg-out SideSwap untuk menarik hampir 4.000 BTC dari dompet Liquid Federation. Liquid menggambarkan para aktor tersebut sebagai peretas yang diduga beretika, sementara SideSwap menyatakan bahwa layanannya memproses permintaan karena L-BTC tampak valid. Para aktor tersebut kemudian mengembalikan 3.400 BTC setelah Blockstream mengonfirmasi bahwa node jembatan yang terkena dampak telah diperbaiki. Sekitar 598 BTC masih belum kembali, sementara Liquid melanjutkan produksi blok tanpa memulihkan transaksi atau operasi peg hingga 10 September.
Pentingnya Penundaan Waktu
Lerner menekankan bahwa penundaan wajib antara penciptaan L-BTC yang tidak didukung dan pelepasan BTC yang nyata dapat mengurangi kerusakan. Dalam sistem semacam itu, persetujuan perangkat lunak akan memulai periode menunggu daripada menyelesaikan penarikan. Alat pemantauan otomatis dapat membandingkan peg-out yang diminta dengan BTC yang mendukung L-BTC dan menandai ketidakseimbangan sebelum penyelesaian. “Jika Liquid memiliki penundaan waktu — di mana dana tidak dapat bergerak untuk periode tertentu terlepas dari apa yang dikatakan perangkat lunak atau operator — bug tersebut akan menghasilkan insiden yang dapat dikelola daripada bencana skala penuh yang segera terjadi,” jelasnya.
Jendela Respons untuk Operator
Menurut Lerner, penundaan tersebut akan memberikan jendela respons beberapa jam kepada operator setelah token yang tidak didukung dibuat. Sistem pemantauan yang berjalan sepanjang waktu dapat mendeteksi bahwa peg-out melewati pemeriksaan perangkat lunak pertama meskipun tidak memiliki jaminan yang sesuai. Pejabat kemudian dapat menghentikan peg sebelum perangkat keras menandatangani transaksi atau melepaskan BTC dari dompet federasi.
Kontrol dan Keamanan dalam Penarikan
Sistem Liquid tidak melaporkan adanya Kunci Otorisasi Peg-out yang dicuri. Sementara itu, SideSwap menyatakan bahwa seorang pelanggan mengirim 4.000 L-BTC ke layanan peg-outnya, yang kemudian memproses permintaan tersebut di bawah proses normal karena token tidak dapat dibedakan dari L-BTC yang didukung. Federasi membayar 3.996 BTC ke alamat Bitcoin yang disuplai sekitar 23 menit kemudian. Usulan Lerner akan menempatkan kontrol tambahan setelah tahap validasi pertama. Meskipun perangkat lunak secara keliru menyetujui penarikan, penundaan tersebut akan mencegah BTC yang bersangkutan meninggalkan segera.
Mekanisme Penundaan Rootstock
Rootstock sudah menggunakan mekanisme penundaan untuk penarikan BTC melalui peg dua arah, meskipun aturan konsensus Bitcoin tidak menegakkan periode menunggu. Sistem ini bergantung pada modul keamanan perangkat keras khusus yang disebut PowHSM. Sebelum menandatangani peg-out, perangkat tersebut secara independen memverifikasi bahwa 4.000 blok Rootstock telah terlewati, yang mewakili sekitar 36 jam bukti kerja kumulatif. Kunci privat tetap berada di dalam perangkat, menurut Lerner, dan pejabat tidak dapat menginstruksikan perangkat keras untuk melewati periode yang diperlukan.
Perlindungan dari Penarikan yang Tidak Sah
Rootstock menggabungkan aturan HSM dengan penambangan gabungan, di mana penambang Bitcoin menyumbangkan bukti kerja ke sidechain. “Bahkan mayoritas pegnatories yang berkolusi tidak dapat mencuri dana, karena kunci privat tidak pernah meninggalkan PowHSM, dan HSM secara independen memverifikasi bahwa 4.000 blok Rootstock telah berlalu sebelum mereka akan menandatangani,” kata Lerner. Model Rootstock mengasumsikan bahwa mayoritas dari hash rate Bitcoin yang berpartisipasi melalui penambangan gabungan dan pejabat federasi tidak akan bekerja sama untuk menghentikan jaringan.
Risiko dan Kontrol Pencabutan
Lerner menambahkan bahwa pejabat yang terkompromi dapat mengganggu operasi peg, menciptakan masalah kelangsungan hidup, tetapi aturan HSM akan mencegah mereka memaksa penarikan awal yang tidak sah. Ketika alat pemantauan mengidentifikasi aktivitas mencurigakan, pejabat dapat mematikan HSM mereka sehingga peg-out yang tertunda tidak menerima tanda tangan. Lerner menggambarkan jeda tersebut sebagai cara untuk melindungi BTC yang mendasari sementara operator memeriksa masalah dan memutuskan bagaimana melanjutkan. “Mayoritas yang berkolusi dapat, paling buruk, menghentikan peg, tetapi mereka tidak dapat memaksa penarikan yang tidak sah,” katanya.
Distribusi Kontrol Pencabutan
Menghentikan penarikan yang tertunda memperkenalkan risiko lain karena kekuatan yang sama dapat digunakan untuk menunda pengguna yang sah. Lerner menekankan bahwa tidak ada satu perusahaan, operator, atau administrator yang seharusnya mengendalikan mekanisme pencabutan. Sebaliknya, pejabat independen harus berbagi otoritas melalui struktur multipihak, dengan aturan perangkat keras yang membatasi apa yang dapat mereka lakukan.
Model Otoritas dan Penundaan Waktu
Di bawah model yang diusulkan, pejabat dapat menghentikan pemrosesan tetapi tidak dapat mengalihkan BTC ke alamat lain atau menyita. “Untuk mencegah titik kegagalan tunggal atau sensor terpusat, kontrol pencabutan harus didistribusikan di antara pejabat independen yang menggunakan aturan yang ditegakkan oleh perangkat keras daripada kunci administratif terpusat,” jelasnya. Kontrol semacam itu masih akan memungkinkan sekelompok pejabat untuk menghentikan penarikan jika cukup banyak peserta bertindak bersama.
Perbedaan Pandangan dan Penundaan yang Efektif
Perbedaan pandangan Lerner terletak pada ruang lingkup otoritas tersebut: operator dapat sementara menahan tanda tangan sementara anomali ditinjau, tetapi mereka tidak dapat membuat transaksi yang valid yang mentransfer jaminan kepada diri mereka sendiri. Penundaan waktu juga perlu memperhitungkan nilai dan tujuan setiap transaksi. Penantian selama 36 jam mungkin tidak cocok untuk pembayaran rutin, sementara jembatan yang memegang jumlah besar BTC memiliki profil risiko yang berbeda. Lerner berpendapat bahwa sistem penyelesaian bernilai tinggi harus memperlakukan waktu sebagai kontrol keamanan, mirip dengan mekanisme penundaan yang digunakan oleh brankas bank fisik.
Variasi Periode Penarikan
Periode penarikan dapat bervariasi berdasarkan ukuran transaksi atau memerlukan ambang bukti kerja kumulatif yang berbeda sesuai dengan jaminan yang berisiko. Periode yang lebih pendek dapat diterapkan untuk transfer yang lebih kecil, sementara penundaan yang lebih lama dapat memberikan sistem otomatis dan responden manusia lebih banyak waktu untuk memeriksa permintaan yang tidak biasa besar. Lerner tidak menetapkan satu penundaan untuk setiap jembatan, tetapi mengutip persyaratan 4.000 blok Rootstock sebagai periode yang efektif untuk infrastruktur yang mengamankan saldo BTC besar. Perlindungan saat ini dari Rootstock bergantung pada HSM dan federasinya daripada aturan yang ditegakkan oleh jaringan Bitcoin.
Proposisi untuk Meningkatkan Keamanan
Lerner menyatakan bahwa brankas Bitcoin asli dan kunci pencabutan dapat memindahkan kontrol yang sebanding ke dalam protokol dasar. Salah satu blok bangunan yang mungkin adalah BIP-443, sebuah proposal draf untuk opcode yang disebut OP_CHECKCONTRACTVERIFY, atau OP_CCV. Proposal tersebut akan memungkinkan output Bitcoin membawa data dan membatasi bagaimana dananya dapat bergerak melalui transaksi di masa depan. BIP-443 menggambarkan OP_CCV sebagai perubahan konsensus yang memerlukan soft fork. Penggunaan yang terdaftar termasuk output Bitcoin yang membawa status, sidechain, dan struktur penarikan dua langkah yang memungkinkan keamanan reaktif. Proposal tersebut masih dalam status draf, dan proses aktivasi belum ditentukan.
Kesimpulan
Lerner mengutip OP_CCV dan BIP-443 sebagai contoh bagaimana brankas asli dapat memberikan pengguna atau pihak yang ditunjuk waktu untuk membatalkan penarikan setelah mendeteksi kredensial yang dicuri, perangkat lunak yang diubah, atau peristiwa abnormal lainnya. Memindahkan mekanisme ke dalam konsensus Bitcoin akan mengurangi ketergantungan pada kebijakan HSM spesifik jembatan, menurut Lerner. Penambang, pejabat, atau administrator harus mengikuti syarat pengeluaran yang terlampir pada output Bitcoin daripada menerapkan jeda diskresioner setelah dana telah bergerak. Untuk penarikan jembatan besar, Lerner menekankan bahwa penundaan harus berlangsung cukup lama agar peringatan otomatis dan operator manusia dapat mengidentifikasi masalah, menghentikan pemrosesan, dan memeriksa perangkat lunak yang terkena dampak sebelum BTC menjadi dapat dibelanjakan secara permanen oleh penerima.
