„Adjátok vissza a bitcoint!”: A Blockstream határt szab a 4 000 BTC-t érintő hackertámadás után

Közel 4 000 BTC maradt, de a legtöbb visszakerült

Az egész eset szeptember 6-án kezdődött valami olyasmivel, ami már eleve elég furcsán hangzott: közel 4 000 BTC tűnt el a Blockstream Liquid Networkjéhez kapcsolódó tartalékokból, és a felelősök azonnal bejelentették a Bitcoin blokkláncon, hogy ők „whitehatok” (jóindulatú hackerek). Aztán a dolgok még furcsábbá váltak.

A csoport apró, OP_RETURN üzeneteket tartalmazó bitcoin-tranzakciókon keresztül kezdett kommunikálni a Blockstreammel, így gyakorlatilag nyilvános üzenőfalat csinálva a blokkláncból. Egy sor nyilvános és titkosított üzenetváltás után a csoport 3 400 BTC-t visszaadott.

De körülbelül 598,5 BTC ott maradt. Ekkor derült ki, hogy a történet teljesen elszabadult.

A 10%-os jutalom ultimátummá válik

Ahelyett, hogy egyszerűen visszaadta volna a maradékot, a csoport azt követelte, hogy a Blockstream saját pénzéből fizessen ki 10%-os jutalmat. Arra is figyelmeztetett, hogy a követelés elutasítása esetén a Liquid-tulajdonosok 15%-os veszteséggel szembesülhetnek. Ezt egyre nehezebb volt egyszerű sebezhetőségi bejelentésnek nevezni.

A „fehér kalapos” kutatók általában azonosítják a biztonsági réseket, jelentik azokat, majd a kialakult csatornákon keresztül tárgyalnak a kompenzációról. Ebben az esetben azonban közel 600 BTC-t visszatartottak, miközben fizetést követeltek. A Blockstream most egyértelművé tette, hogy ők egészen másképp látják a dolgot.

„A Blockstream nem fizet váltságdíjat az ellopott pénzeszközök visszaszolgáltatásáért” – hangsúlyozta a vállalat szeptember 11-én az X-en. „Az eszközök jogosulatlan elvétele és visszaszolgáltatásuk visszatartása bűncselekmény, nem pedig felelősségteljes közzététel.”

A Blockstream szerint a bitcoin-tulajdonosok nem fogják állni a számlát

A vállalat elutasította azt az elképzelést is, hogy a Liquid-felhasználóknak kellene viselniük a veszteségeket a követelés kielégítése érdekében. „A bitcoin kemény pénz, amelyet nem lehet költségek nélkül kibocsátani; a bitcoin nem terheli meg a felhasználókat váltságdíj fizetésével” – írta a Blockstream.

Ez a mondat a vita pénzügyi lényegét érinti. Végül valakinek el kell számolnia a közel 600 BTC-vel, amelyet nem adtak vissza. A Blockstream álláspontja szerint a felhasználóknak nem kellene ténylegesen finanszírozniuk a kifizetést azoknak, akik elvették a pénzt. A vállalat közölte, hogy korábbi tárgyalásait jóhiszeműen folytatta a felhasználói pénzeszközök visszaszerzése érdekében, nem pedig azért, mert elfogadta a hackerek feltételeit.

A biztonsági figyelmeztetések újabb fordulatot hoznak

Van még egy bonyolító tényező, amely az ügy felett lebeg. A Bitcoin Red Team társelnöke, Calle azt állította, hogy csoportja már a támadás előtt figyelmeztette a Blockstreamet a sebezhetőségre, és tréfásan megjegyezte, hogy nyilvánvalóan „600 BTC-be került, hogy figyelmen kívül hagyják a Red Team e-mailjét”.

Samson Mow, a Blockstream korábbi biztonsági vezetője visszautasította ezt, mondván, hogy egyetlen e-mailt sem hagytak figyelmen kívül. Az egymásnak ellentmondó állításokat még nem sikerült teljesen tisztázni, és a Bitcoin Red Team kijelentette, hogy saját beszámolót szándékozik közzétenni a biztonsági rés nyilvánosságra hozatalának folyamatáról, miután a Blockstream közzéteszi a támadás utáni elemzését.

Így a Blockstream most egyszerre két vitával küzd: azzal, hogy mi történt a támadás előtt, és azzal, hogy mi történjen a bitcoinnal utána. A közel 600 BTC-s veszteségen túl a vállalatnak az egész esetből fakadó hírnévromlással is meg kell küzdenie, ami gyorsan PR-katasztrófává vált.

„Ha rossz minőségű kódot írsz, akkor nagy bajba kerülsz” – írta egy X-felhasználó a Blockstream legutóbbi követelésére adott válaszában. „A Bitcoin tervezésénél fogva engedélymentes. Ne menj sírni a hatóságokhoz most, hogy elcseszted a dolgot a rossz kóddal” – tette hozzá a felhasználó. „A Blockstream saját magának árt azzal, hogy hátba szúrja azt a fickót, aki 3 400 BTC-t adott nekik” – írta egy másik X-felhasználó. A személy hozzátette:

„Legközelebb, amikor a Liquid-et kiürítik, a coinok 100%-át megtartják. Ne legyetek ilyen fösvények, és vállaljátok a felelősséget a kibaszott baklövéseitekért.”

A Blockstream egy sokkal nagyobb hajtóvadászattal fenyeget

A Blockstream legújabb üzenete alig hagy kétséget a második kérdés tekintetében.

Ha a pénzeszközöket nem adják vissza, a vállalat azt állítja, hogy együttműködni fog a bűnüldöző szervekkel, tőzsdékkel, szolgáltatókkal, számítógépes nyomozási szakértőkkel és másokkal, hogy lenyomozzák a bitcoinokat és azonosítsák a felelősöket. A vállalat emellett rámutatott egy olyan kellemetlen tulajdonságra, amely bárki számára gondot jelenthet, aki megpróbál közel 600 BTC-t eltüntetni: a bitcoin-tranzakciók állandó, nyilvános nyomot hagynak maguk után.

Egy olyan csoport számára, amely eredetileg „white hat”-nak nevezte magát, a helyzet már messze túllépett egy egyszerű hibajelentésen. Közel 4 000 BTC tűnt el. A legtöbb visszakerült. Több száz bitcoin azonban nem. A Blockstream válasza a fennmaradó követelésre pedig most négy szóból áll:

„Adjátok vissza a bitcoint.”