Blockstream odmawia zapłaty atakującym, którzy opróżnili jego sidechain Liquid. Firma łamie kryptowalutowy zwyczaj, według którego samozwańczy białe kapelusze mogą zachować część łupu.
Liquid to sieć stworzona przez Blockstream, gdzie użytkownicy blokują Bitcoin (BTC) i otrzymują odpowiadający token, który szybciej się przemieszcza. Atakujący wykorzystali błąd w oprogramowaniu 6 września i zabrali około 4000 BTC.
Dlaczego białe kapelusze liczą na swoją część
Błąd pozwolił atakującym tworzyć tokeny Liquid, które nie były poparte prawdziwym Bitcoinem, a potem je wymieniać. Klucze podpisujące federacji nie zostały skradzione, dlatego transakcja opróżniająca Liquid została zaakceptowana bez przeszkód.
Później zwrócili 3400 BTC, gdy Blockstream naprawił oprogramowanie, a następnie zażądali wstecznej nagrody za błąd. Zatrzymali 598,5 BTC, czyli około 46 mln USD przy aktualnym kursie Bitcoin.
To żądanie jest znanym scenariuszem. Nomad, most, który stracił 190 mln USD w 2022 roku, publicznie zaoferował hakerom 10% łupu za zwrot reszty środków. Od tego czasu projekty wielokrotnie powielają takie rozwiązanie.
Blockstream twierdzi, że określenie „biały kapelusz” tu nie pasuje
Blockstream w swoim oświadczeniu zaznaczył, że deweloperzy open-source nie powinni finansować wypłat wyższych niż ich własny wkład w sieć.
Zabieranie środków bez zgody i ich wstrzymywanie to przestępstwo, nie odpowiedzialne ujawnienie. To nie jest działalność białego kapelusza. To jest kradzież.
Dyrektor ds. technologii Ledger, Charles Guillemet, skrytykował określenie białego kapelusza kilka dni wcześniej. Według niego atakujący, którzy opróżniają most, a potem proponują kontakt, nie prowadzą badań bezpieczeństwa.
Firma nie jest osamotniona w odmowie. Kraken oskarżył badaczy bezpieczeństwa o szantaż w 2024 roku po tym, jak zabrali 3 mln USD i sami ustalili cenę zwrotu.
BeInCrypto informował 7 września, że częściowy zwrot nadal pozostawia prawie 600 BTC do odzyskania. Ta luka wciąż istnieje i Blockstream publicznie nie powiedział, kto poniesie stratę, jeśli monety nie wrócą.
Od teraz odzyskanie środków zależy od organów ścigania, giełd i analizy łańcucha wymierzonej w anonimowe osoby. To, czy odmowa się utrzyma, wpłynie na to, ile zażąda kolejny atakujący.
