Ryhmä, joka siirsi lähes 4 000 BTC:tä Blockstreamin Liquid Network -verkostosta, palautti 3 400 BTC:tä, piti itsellään noin 598,5 BTC:tä, vaati 10 prosentin palkkiota ja varoitti, että L-BTC:n haltijat saattaisivat kärsiä 15 prosentin tappion. Nyt Blockstream on vastannut poikkeuksellisen suoralla uhkavaatimuksella: se ei aio maksaa. Yritys katsoo, että bitcoinien ottaminen oli varkaus, ei ”white hat” -tyyppistä tietoturvatutkimusta, ja on uhannut ottaa mukaan lainvalvontaviranomaiset, pörssit ja lohkoketjututkijat, jos jäljellä olevia varoja ei palauteta.
”Palauttakaa bitcoineja”: Blockstream vetää rajan 4 000 BTC:n hakkeroinnin jälkeen
KIRJOITTAJA
JAA
Tärkeimmät kohdat
- Blockstream hylkäsi 10 prosentin palkkion vaatimuksen, vaikka hakkerit pitävät edelleen hallussaan noin 598,5 BTC:tä.
- Liquidin hyökkääjät palauttivat 3 400 BTC:tä sen jälkeen, kun he olivat 6. syyskuuta tyhjentäneet tililtä lähes 4 000 BTC:tä.
- Blockstreamin mukaan lainvalvontaviranomaiset ja pörssit saattavat liittyä jäljellä olevien 598,5 BTC:n etsintään.
Lähes 4 000 BTC:tä jäljellä, mutta suurin osa siitä palautettiin
Koko tapaus alkoi 6. syyskuuta tapahtumalla, joka jo sinänsä kuulosti tarpeeksi oudolta: lähes 4 000 BTC katosi Blockstreamin Liquid Networkiin liittyvistä varannoista, ja tekoon syyllistyneet ilmoittivat välittömästi Bitcoin-lohkoketjussa olevansa ”whitehatteja”. Sitten tilanne muuttui vieläkin oudommaksi.
Ryhmä alkoi kommunikoida Blockstreamin kanssa pienten, OP_RETURN-viestejä sisältävien bitcoin-transaktioiden kautta, mikä käytännössä muutti lohkoketjun julkiseksi ilmoitustauluksi. Useiden julkisten ja salattujen viestinvaihtojen jälkeen ryhmä palautti 3 400 BTC:tä.
Mutta noin 598,5 BTC jäi jäljelle. Siinä vaiheessa tarina suistui raiteiltaan.
10 prosentin palkkio muuttui uhkavaatimukseksi
Sen sijaan, että ryhmä olisi yksinkertaisesti palauttanut loput, se vaati Blockstreamia maksamaan 10 prosentin palkkion omista varoistaan. Se varoitti myös, että vaatimuksen hylkääminen voisi aiheuttaa Liquid-haltijoille 15 prosentin tappion. Tämän kutsumista tavanomaiseksi haavoittuvuuden paljastamiseksi tuli yhä vaikeammaksi.
White-hat-tutkijat yleensä tunnistavat tietoturva-aukkoja, ilmoittavat niistä ja neuvottelevat korvauksesta vakiintuneiden kanavien kautta. Tässä tapauksessa lähes 600 BTC:tä pidätettiin samalla kun maksua vaadittiin. Blockstream on nyt tehnyt selväksi, että se näkee asian aivan eri tavalla.
”Blockstream ei maksa lunnaita varastettujen varojen palauttamisesta”, yhtiö korosti 11. syyskuuta X:ssä. ”Varojen ottaminen ilman lupaa ja niiden palauttamisen estäminen on rikos, ei vastuullista paljastamista.”
Blockstreamin mukaan bitcoin-haltijat eivät maksa laskua
Yritys torjui myös ajatuksen, että Liquid-käyttäjien pitäisi kantaa tappiot vaatimuksen täyttämiseksi. ”Bitcoin on kovaa rahaa, eikä sitä voida luoda ilman kustannuksia. Bitcoin ei leikkaa käyttäjien varoja lunnaiden maksamiseksi”, Blockstream kirjoitti.
Tämä lause osuu kiistan taloudelliseen ytimeen. Jonkun on lopulta vastattava niistä lähes 600 BTC:stä, joita ei ole palautettu. Blockstreamin kanta on, että käyttäjien ei pitäisi käytännössä rahoittaa maksua varat ottaneille henkilöille. Yritys totesi, että sen aiemmat neuvottelut käytiin vilpittömässä mielessä käyttäjien varojen takaisin saamiseksi, ei siksi, että se olisi hyväksynyt hakkereiden ehdot.
Turvallisuusvaroitukset tuovat uuden käänteen
Tapaukseen liittyy vielä yksi mutka. Bitcoin Red Teamin toinen johtaja Calle on väittänyt, että hänen ryhmänsä varoitti Blockstreamia haavoittuvuudesta ennen hyökkäystä, ja vitsaili, että ”red teamin sähköpostin sivuuttaminen maksoi ilmeisesti 600 BTC:tä”.
Blockstreamin entinen tietoturvajohtaja Samson Mow kiisti väitteen ja sanoi, ettei yhtään sähköpostia jätetty huomiotta. Ristiriitaisia kertomuksia ei ole vielä täysin sovitettu yhteen, ja Bitcoin Red Team on ilmoittanut aikovansa julkaista oman selostuksensa paljastamisprosessista sen jälkeen, kun Blockstream julkaisee jälkianalyysinsä.
Blockstream joutuu siis nyt torjumaan kahta väitettä yhtä aikaa: mitä tapahtui ennen hyökkäystä ja mitä bitcoinin kanssa pitäisi tehdä sen jälkeen. Lähes 600 BTC:n menetyksen lisäksi yritys on joutunut kamppailemaan koko tapauksen aiheuttaman mainehaitan kanssa, joka on nopeasti muuttunut PR-katastrofiksi.
”Kirjoita huonolaatuista koodia, niin saat pahoja ongelmia”, eräs X-käyttäjä kirjoitti vastauksena Blockstreamin viimeisimpään vaatimukseen. ”Bitcoin on suunnittelultaan luvaton. Älä nyt mene itkemään viranomaisille, kun olet mokannut huonolla koodilla”, tili lisäsi. ”Blockstream ampuu itseään jalkaan puukottamalla selkään miestä, joka antoi heille 3 400 BTC:tä”, toinen X-tili kirjoitti. Henkilö lisäsi:
”Seuraavan kerran, kun Liquid tyhjenee, he pitävät 100 % kolikoista. Lopettakaa se pihiys ja ottakaa vastuu omasta mokastanne.”
Blockstream uhkaa paljon laajempaa jahtausta
Blockstreamin viimeisin viesti ei jätä juurikaan epäselvyyttä toisen kysymyksen suhteen.
Jos varoja ei palauteta, yritys sanoo aikovansa tehdä yhteistyötä lainvalvontaviranomaisten, pörssien, palveluntarjoajien, rikosteknisten asiantuntijoiden ja muiden tahojen kanssa bitcoinin jäljittämiseksi ja vastuussa olevien henkilöiden tunnistamiseksi. Yritys viittasi myös yhteen hankalaan seikkaan kaikille, jotka yrittävät saada lähes 600 BTC:tä katoamaan: bitcoin-transaktiot jättävät pysyvän julkisen jäljen.
Ryhmälle, joka alun perin kutsui itseään ”white hatiksi”, tilanne on edennyt pitkälle bugiraportista. Lähes 4 000 BTC:tä katosi. Suurin osa palautui. Satoja bitcoineja ei palautettu. Ja Blockstreamin vastaus jäljellä olevaan vaatimukseen on nyt neljän sanan pituinen:
”Palauttakaa bitcoinit.”
Tämä artikkeli on käännetty englannista tekoälyn avulla. Alkuperäinen englanninkielinen versio on auktoritatiivinen lähde; automaattiset käännökset voivat sisältää epätarkkuuksia, erityisesti oikeudellisessa ja sääntelyyn liittyvässä terminologiassa.
