»Giv Bitcoin’en tilbage«: Blockstream sætter en grænse efter hack med 4.000 BTC

Der mangler næsten 4.000 BTC, men det meste er kommet tilbage

Hele episoden begyndte den 6. september med noget, der allerede lød mærkeligt nok: Næsten 4.000 BTC forsvandt fra reserver tilknyttet Blockstreams Liquid Network, og de ansvarlige meddelte straks på Bitcoin-blockchainen, at de var »whitehats«. Derefter blev det endnu mærkeligere.

Gruppen begyndte at kommunikere med Blockstream via små bitcoin-transaktioner med OP_RETURN-meddelelser, hvilket i praksis forvandlede blockchainen til et offentligt opslagstavle. Efter en række offentlige og krypterede udvekslinger returnerede gruppen 3.400 BTC.

Men omkring 598,5 BTC blev tilbage. Det var her, historien gik af sporet.

En dusør på 10 % bliver til et ultimatum

I stedet for blot at returnere resten krævede gruppen, at Blockstream betalte en dusør på 10 % med egne midler. Den advarede også om, at et afslag på kravet kunne medføre et tab på 15 % for Liquid-indehavere. Det blev stadig sværere at kalde dette for en almindelig afsløring af sårbarheder.

White-hat-forskere identificerer generelt sikkerhedsfejl, rapporterer dem og forhandler sig frem til en kompensation gennem etablerede kanaler. Her blev næsten 600 BTC tilbageholdt, mens der blev krævet betaling. Blockstream har nu gjort det klart, at de ser på denne skelnen på en helt anden måde.

»Blockstream vil ikke betale løsepenge for at få stjålne midler tilbage,« understregede virksomheden den 11. september på X. »At tage aktiver uden tilladelse og tilbageholde deres tilbagelevering er en forbrydelse, ikke ansvarlig afsløring.«

Blockstream siger, at Bitcoin-indehavere ikke skal betale regningen

Virksomheden afviste også tanken om, at Liquid-brugere skulle dække tabene for at imødekomme kravet. »Bitcoin er hårde penge og kan ikke udstedes uden omkostninger; Bitcoin påfører ikke brugerne tab for at betale løsepenge,« skrev Blockstream.

Denne udtalelse rammer kernen i tvisten. Nogen skal i sidste ende stå til regnskab for de næsten 600 BTC, der ikke er blevet returneret. Blockstreams holdning er, at brugerne ikke reelt skal finansiere en udbetaling til de personer, der har taget pengene. Virksomheden sagde, at de tidligere forhandlinger blev ført i god tro for at inddrive brugernes midler, ikke fordi den accepterede hackernes betingelser.

Sikkerhedsadvarsler tilføjer endnu en drejning

Der er endnu en komplikation, der hænger over sagen. Calle, medleder af Bitcoin Red Team, har hævdet, at hans gruppe advarede Blockstream om sårbarheden inden udnyttelsen, og bemærkede spøgefuldt, at det tilsyneladende kostede »600 BTC at ignorere en e-mail fra red teamet«.

Den tidligere sikkerhedschef hos Blockstream, Samson Mow, afviste dette og sagde, at ingen e-mails blev ignoreret. De modstridende forklaringer er endnu ikke blevet fuldt ud afstemt, og Bitcoin Red Team har udtalt, at det agter at offentliggøre sin egen redegørelse for afsløringsprocessen, når Blockstream har udgivet en efteranalyse.

Så Blockstream kæmper nu med to stridspunkter på én gang: hvad der skete før udnyttelsen, og hvad der bør ske med bitcoinen bagefter. Ud over tabet på næsten 600 BTC har virksomheden også været tvunget til at håndtere de omdømmemæssige konsekvenser af hele episoden, som hurtigt er blevet til en PR-katastrofe.

»Skriver man kode af dårlig kvalitet, får man store problemer,« skrev en X-bruger som svar på Blockstreams seneste krav. »Bitcoin er bevidst designet til at være tilladelsesfri. Gå ikke og græd til myndighederne nu, hvor I har rodet det til med dårlig kode,” tilføjede kontoen. ”Blockstream skyder sig selv i foden ved at dolke den fyr i ryggen, der gav dem 3.400 BTC,” skrev en anden X-konto. Personen tilføjede:

»Næste gang Liquid bliver tømt, beholder de 100 % af mønterne. Hold op med at være så nærig og tag ansvar for jeres f***up.«

Blockstream truer med en langt større jagt

Blockstreams seneste meddelelse efterlader ingen tvivl om det andet spørgsmål.

Hvis midlerne ikke returneres, siger virksomheden, at den planlægger at samarbejde med retshåndhævende myndigheder, børser, tjenesteudbydere, retsmedicinske specialister og andre for at spore bitcoinen og identificere de ansvarlige personer. Virksomheden påpegede også en ulempe for enhver, der forsøger at få næsten 600 BTC til at forsvinde: Bitcoin-transaktioner efterlader et permanent, offentligt spor.

For en gruppe, der oprindeligt kaldte sig selv »white hat«, er situationen kommet langt fra at være en simpel fejlrapport. Næsten 4.000 BTC forsvandt. De fleste kom tilbage. Hundredvis af bitcoin gjorde ikke. Og Blockstreams svar på det resterende krav består nu af fire ord:

»Returner bitcoinen.«