Skupina koja je ispraznila gotovo 4.000 BTC iz Blockstreamove Liquid mreže vratila je 3.400 BTC, zadržala oko 598,5 BTC, zatražila nagradu od 10% i upozorila da bi vlasnici L-BTC-a mogli pretrpjeti gubitak od 15%. Sada je Blockstream odgovorio neuobičajeno izravnim ultimatumom: neće platiti. Tvrtka kaže da je uzimanje bitcoina bila krađa, a ne white-hat sigurnosno istraživanje, te je zaprijetila da će uključiti policiju, burze i blockchain istražitelje u borbu ako se preostala sredstva ne vrate.
'Vratite Bitcoin': Blockstream povlači crtu nakon hakiranja 4.000 BTC-a
NAPISAO
PODIJELI
Ključne poruke
- Blockstream je odbio zahtjev za nagradu od 10% dok hakeri i dalje drže otprilike 598,5 BTC.
- Napadači na Liquid vratili su 3.400 BTC nakon što su 6. rujna ispraznili gotovo 4.000 BTC.
- Blockstream kaže da bi se policija i burze mogli pridružiti potrazi za preostalih 598,5 BTC.
Gotovo 4.000 BTC je otišlo, ali većina se vratila
Cijela epizoda započela je 6. rujna nečim što je već zvučalo dovoljno čudno: gotovo 4.000 BTC nestalo je iz rezervi povezanih s Blockstreamovom Liquid mrežom, a odgovorni su odmah na Bitcoin blockchainu objavili da su “whitehats”. Zatim je postalo još čudnije.
Skupina je počela komunicirati s Blockstreamom putem sitnih bitcoin transakcija koje su nosile OP_RETURN poruke, praktički pretvarajući blockchain u javnu oglasnu ploču. Nakon niza javnih i šifriranih razmjena, skupina je vratila 3.400 BTC.
No, otprilike 598,5 BTC ostalo je zadržano. Tu je priča krenula nizbrdo.
Nagrada od 10% pretvara se u ultimatum
Umjesto da jednostavno vrati ostatak, skupina je zahtijevala da Blockstream plati 10% nagrade vlastitim novcem. Također je upozorila da bi odbijanje zahtjeva moglo ostaviti vlasnike Liquida suočene s gubitkom od 15%. Sve je teže bilo ovo nazivati uobičajenim prijavljivanjem ranjivosti.
White-hat istraživači obično identificiraju sigurnosne propuste, prijave ih i pregovaraju o naknadi kroz ustaljene kanale. Ovdje se, međutim, zadržavalo gotovo 600 BTC dok se zahtijevalo plaćanje. Blockstream je sada jasno dao do znanja da tu razliku vidi posve drugačije.
“Blockstream neće platiti otkupninu za povrat ukradenih sredstava,” naglasila je tvrtka 11. rujna na X-u. “Uzimanje imovine bez ovlaštenja i zadržavanje njezina povrata je zločin, a ne odgovorno otkrivanje.”
Blockstream kaže da vlasnici bitcoina neće platiti račun
Tvrtka je također odbacila ideju da bi Liquid korisnici trebali apsorbirati gubitke kako bi se udovoljilo zahtjevu. “Bitcoin je tvrdi novac i ne može se stvarati bez troškova, Bitcoin ne šiša korisnike kako bi platio otkupninu,” napisao je Blockstream.
Ta rečenica pogađa financijsku srž spora. Netko na kraju mora pokriti gotovo 600 BTC koji nisu vraćeni. Blockstreamov stav je da korisnici ne bi trebali učinkovito financirati isplatu onima koji su ga uzeli. Tvrtka je rekla da su se raniji pregovori vodili u dobroj vjeri kako bi se vratila sredstva korisnika, a ne zato što je prihvatila uvjete hakera.
Sigurnosna upozorenja donose još jedan obrat
Postoji još jedna komplikacija koja visi nad cijelim slučajem. Suvoditelj Bitcoin Red Teama, Calle, tvrdio je da je njegova skupina upozorila Blockstream na ranjivost prije eksploatacije, našalivši se da je očito koštalo “600 BTC ignorirati email od red teama.”
Bivši Blockstreamov glavni sigurnosni direktor Samson Mow uzvratio je, rekavši da nijedan email nije ignoriran. Suprotstavljena izvješća još nisu u potpunosti usklađena, a Bitcoin Red Team je rekao da namjerava objaviti vlastitu verziju procesa otkrivanja nakon što Blockstream objavi postmortem.
Tako se Blockstream sada bori s dvije rasprave odjednom: što se dogodilo prije eksploatacije i što bi se trebalo dogoditi s bitcoinom nakon toga. Osim gubitka gotovo 600 BTC, tvrtka se također morala nositi s reputacijskim posljedicama cijele epizode, koja se brzo pretvorila u PR katastrofu.
“Napišite loš kod, imajte loše probleme,” jedan korisnik X-a napisao je u odgovoru na Blockstreamov najnoviji zahtjev. “Bitcoin je po dizajnu bez dozvola. Nemojte sada kukati vlastima kad ste zabrljali s lošim kodom,” dodao je račun. “Blockstream si puca u nogu zabijajući nož u leđa tipu koji im je dao 3.400 BTC,” napisao je drugi X račun. Ta je osoba dodala:
“Sljedeći put kad Liquid bude ispražnjen, zadržat će 100% kovanica. Prestanite biti tako škrti i preuzmite odgovornost za svoj j***ni zajeb.”
Blockstream prijeti mnogo većom potragom
Blockstreamova najnovija poruka ostavlja malo nejasnoća oko drugog pitanja.
Ako se sredstva ne vrate, tvrtka kaže da planira surađivati s policijom, burzama, pružateljima usluga, forenzičkim stručnjacima i drugima kako bi pratila bitcoin i identificirala odgovorne osobe. Tvrtka je također ukazala na jednu nezgodnu značajku za svakoga tko pokušava učiniti da gotovo 600 BTC nestane: Bitcoin transakcije ostavljaju trajni javni trag.
Za skupinu koja se izvorno nazvala white hat, situacija je otišla daleko od prijave buga. Gotovo 4.000 BTC je otišlo. Većina se vratila. Stotine bitcoina nisu. A Blockstreamov odgovor na preostali zahtjev sada je dug četiri riječi:
“Vratite bitcoin.”
Ovaj je članak preveden s engleskog jezika pomoću umjetne inteligencije. Izvorna engleska verzija mjerodavan je izvor; automatski prijevodi mogu sadržavati netočnosti, osobito u pravnoj i regulatornoj terminologiji.
