'החזירו את הביטקוין': בלוקסטרים מציבה קו אדום לאחר פריצת 4,000 BTC

כמעט 4,000 BTC יצאו, אבל רובם חזרו

כל הסיפור החל ב‑6 בספטמבר עם משהו שכבר נשמע מוזר מספיק: כמעט 4,000 BTC נעלמו מרזרבות הקשורות לרשת ה‑Liquid של Blockstream, והאחראים לכך הכריזו מיד על גבי בלוקצ’יין הביטקוין שהם “whitehats”. ואז זה נעשה מוזר עוד יותר.

הקבוצה החלה לתקשר עם Blockstream באמצעות עסקאות ביטקוין זעירות שנשאו הודעות OP_RETURN, ובכך הפכה למעשה את הבלוקצ’יין ללוח מודעות ציבורי. לאחר סדרת חילופים פומביים ומוצפנים, הקבוצה החזירה 3,400 BTC.

אבל בערך 598.5 BTC נשארו מאחור. כאן הסיפור ירד מהפסים.

פרס של 10% הופך לאולטימטום

במקום פשוט להחזיר את היתר, הקבוצה דרשה ש‑Blockstream תשלם 10% פרס מכספה שלה. היא גם הזהירה שסירוב לדרישה עלול להשאיר את מחזיקי Liquid מול הפסד של 15%. לקרוא לזה חשיפה רגילה של חולשה הפך לקשה יותר ויותר.

חוקרי כובע לבן בדרך כלל מזהים פגמי אבטחה, מדווחים עליהם, ומנהלים משא ומתן על תגמול דרך ערוצים מקובלים. כאן, כמעט 600 BTC הוחזקו תוך דרישת תשלום. Blockstream הבהירה כעת שהיא רואה את ההבחנה בצורה שונה מאוד.

“Blockstream לא תשלם כופר עבור החזרת כספים שנגנבו,” הדגישה החברה ב‑11 בספטמבר ב‑X. “לקיחת נכסים ללא הרשאה והחזקת החזרתם היא פשע, לא חשיפה אחראית.”

Blockstream אומרת שמחזיקי ביטקוין לא ישלמו את החשבון

החברה גם דחתה את הרעיון שמשתמשי Liquid צריכים לספוג הפסדים כדי לספק את הדרישה. “ביטקוין הוא כסף קשה ולא ניתן להנפיק אותו בלי עלויות, ביטקוין לא עושה ‘תספורת’ למשתמשים כדי לשלם כופר,” כתבה Blockstream.

השורה הזו נוגעת בלב הפיננסי של המחלוקת. מישהו בסופו של דבר צריך לתת דין וחשבון על כמעט 600 ה‑BTC שלא הוחזרו. עמדת Blockstream היא שמשתמשים לא צריכים למעשה לממן תשלום לאנשים שלקחו אותו. החברה אמרה שהמשא ומתן הקודם שלה נעשה בתום לב כדי להשיב כספי משתמשים, לא משום שקיבלה את תנאי ההאקרים.

אזהרות אבטחה מוסיפות תפנית נוספת

יש סיבוך נוסף שמרחף מעל הפרשה. קאלה, שותף‑מוביל בצוות Bitcoin Red Team, טען שהקבוצה שלו הזהירה את Blockstream לגבי הפגיעות לפני הניצול, והתלוצץ שזה כנראה עלה “600 BTC כדי להתעלם ממייל מה‑red team”.

סמנכ”ל האבטחה לשעבר של Blockstream, Samson Mow, דחה זאת ואמר שלא התעלמו משום אימיילים. הגרסאות המתחרות לא יושבו במלואן, ו‑Bitcoin Red Team אמרה שבכוונתה לפרסם את גרסתה לתהליך החשיפה לאחר ש‑Blockstream תפרסם דו”ח פוסט‑מורטם.

כך ש‑Blockstream כעת נלחמת בשתי טענות בו‑זמנית: מה קרה לפני הניצול ומה צריך לקרות לביטקוין לאחר מכן. מעבר לאובדן של כמעט 600 BTC, החברה נאלצה גם להתמודד עם הנזק התדמיתי מכל הפרשה, שהפכה במהירות לאסון יחסי ציבור.

“תכתבו קוד באיכות גרועה, יהיו לכם בעיות גרועות,” משתמש אחד ב‑X כתב בתגובה לדרישה האחרונה של Blockstream. “ביטקוין הוא חסר‑הרשאה מעצם העיצוב. אל תלכו לבכות לרשויות עכשיו כשפישלתם עם קוד גרוע,” הוסיף החשבון. “Blockstream יורה לעצמה ברגל כשהיא דוקרת בגב את הבחור שנתן להם 3,400 BTC,” כתב חשבון אחר ב‑X. אותו אדם הוסיף:

“בפעם הבאה ש‑Liquid תתרוקן, הם ישמרו 100% מהמטבעות. תפסיקו להיות כאלה קמצנים וקחו אחריות על ה‑f***up שלכם.”

Blockstream מאיימת במרדף הרבה יותר גדול

המסר האחרון של Blockstream משאיר מעט מאוד עמימות לגבי השאלה השנייה.

אם הכספים לא יוחזרו, החברה אומרת שהיא מתכננת לעבוד עם רשויות אכיפה, בורסות, ספקי שירות, מומחי פורנזיקה ואחרים כדי להתחקות אחר הביטקוין ולזהות את האחראים. החברה גם הצביעה על תכונה לא נוחה עבור כל מי שמנסה להעלים כמעט 600 BTC: עסקאות ביטקוין משאירות עקבה ציבורית קבועה.

עבור קבוצה שבמקור כינתה את עצמה כובעים לבנים, המצב התרחק מאוד מדו”ח באג. כמעט 4,000 BTC יצאו. רובם חזרו. מאות ביטקוין לא. ותשובתה של Blockstream לדרישה שנותרה היא כעת בת ארבע מילים:

“החזירו את הביטקוין.”