Blockstream-hackere kræver 10 % i dusør og truer med tab på 15 % for indehaverne

White hats går til angreb med krav om 10 %

Den seneste besked dukkede op på Bitcoin-blockchain via OP_RETURN, en funktion der giver brugerne mulighed for at vedhæfte små datastykker til transaktioner. Den samme mekanisme er blevet en uventet kommunikationskanal mellem Blockstream og gruppen.

Hackerne beskyldte Blockstream for ikke at have beskyttet aktiver til en værdi af milliarder af dollars tilstrækkeligt og hævdede, at virksomheden kun havde afsat 1,5 millioner dollars – »måske endda 0« – til sikkerhed. I beskeden blev den påståede situation betegnet som »en åbenlys forsømmelse af sikkerheden og et tegn på fuldstændig dårlig ledelse«.

Påstandene om Blockstreams sikkerhedsudgifter stammer direkte fra hackerne og er ikke blevet uafhængigt bekræftet af Bitcoin.com News.

598,5 BTC er stadig i centrum af den eskalerende konflikt

Meddelelsen følger en vild udvikling, der begyndte den 6. september, da gruppen tømte næsten 4.000 BTC fra Liquids reserver, før de identificerede sig selv på blockchainen som "white hats" og bad Blockstream om at kontakte dem.

Blockstream kommunikerede efterfølgende med gruppen via Bitcoin-transaktioner og krypterede beskeder. Mandag returnerede hackerne 3.400 BTC til forbundets tegnebog, men beholdt omkring 598,5 BTC.

Den resterende mængde er nu i centrum for konflikten. Gruppen meddelte Blockstream: »I SKAL betale 10 % med jeres egne penge som bug bounty«, hvorefter de advarede om, at en afvisning kunne »medføre et tab på 15 % for alle jeres indehavere«.

Hackere siger, at private samtaler kan blive offentliggjort

Den seneste besked antyder også, at den private side af forhandlingerne i sidste ende kan blive offentliggjort. Gruppen antydede, at den planlægger at »offentliggøre den private nøgle til at dekryptere vores samtaler bagefter«.

Hvis dette gennemføres, kan det afsløre krypteret kommunikation, der er udvekslet mellem Blockstream og hackerne under forhandlingerne, hvilket potentielt kan give flere detaljer om sårbarheden og diskussionerne omkring de returnerede bitcoins. Mange af disse beskeder var krypterede.

Hackerne hævdede desuden, at virksomheder, der deltager i bug bounty-programmer, ikke kan garantere fuldstændig sikkerhed, samtidig med at de beskyldte Blockstream for at være »vildledt, grådig og arrogant«.

Konflikten med Blockstream er endnu ikke overstået

På den anden side er det blevet stadig mere kompliceret at kalde gruppen for »white hats«. At beholde næsten 600 BTC, samtidig med at man kræver betaling og truer med yderligere tab, rejser spørgsmål om, hvor afsløringen af sårbarheden slutter, og tvang begynder.

Foreløbig er støvet langt fra lagt sig. De 598,5 BTC er fortsat det største element at holde øje med, sammen med Blockstreams svar på kravet om 10 % og spørgsmålet om, hvorvidt hackerne indfrier deres løfte om at offentliggøre de nøgler, der er nødvendige for at afsløre deres private kommunikation.