'Kembalikan Bitcoin': Blockstream Menetapkan Batas Setelah Peretasan 4.000 BTC

Hampir 4.000 BTC Masih Hilang, Namun Sebagian Besar Telah Dikembalikan

Seluruh kejadian ini bermula pada 6 September dengan sesuatu yang terdengar cukup aneh: Hampir 4.000 BTC menghilang dari cadangan yang terhubung ke Jaringan Liquid milik Blockstream, dan pihak yang bertanggung jawab segera mengumumkan di blockchain Bitcoin bahwa mereka adalah “whitehats.” Kemudian, situasinya menjadi semakin aneh.

Kelompok tersebut mulai berkomunikasi dengan Blockstream melalui transaksi bitcoin kecil yang membawa pesan OP_RETURN, yang secara efektif mengubah blockchain menjadi papan pesan publik. Setelah serangkaian pertukaran publik dan terenkripsi, kelompok tersebut mengembalikan 3.400 BTC.

Namun, sekitar 598,5 BTC tetap tersisa. Di situlah cerita ini mulai melenceng dari jalurnya.

Hadiah 10% Berubah Menjadi Ultimatum

Alih-alih sekadar mengembalikan sisanya, kelompok tersebut menuntut Blockstream membayar hadiah 10% menggunakan dana mereka sendiri. Mereka juga memperingatkan bahwa penolakan terhadap tuntutan tersebut dapat membuat pemegang Liquid menghadapi kerugian sebesar 15%. Semakin sulit untuk menyebut hal ini sebagai pengungkapan kerentanan biasa.

Peneliti white-hat umumnya mengidentifikasi celah keamanan, melaporkannya, dan menegosiasikan kompensasi melalui saluran yang telah ditetapkan. Dalam kasus ini, hampir 600 BTC ditahan sementara pembayaran diminta. Blockstream kini telah menegaskan bahwa mereka memandang perbedaan tersebut secara sangat berbeda.

“Blockstream tidak akan membayar tebusan untuk pengembalian dana yang dicuri,” tegas perusahaan tersebut pada 11 September di X. “Mengambil aset tanpa izin dan menahan pengembaliannya adalah kejahatan, bukan pengungkapan yang bertanggung jawab.”

Blockstream Mengatakan Pemegang Bitcoin Tidak Akan Membayar Tagihan

Perusahaan tersebut juga menolak gagasan bahwa pengguna Liquid harus menanggung kerugian untuk memenuhi tuntutan tersebut. “Bitcoin adalah uang yang kokoh dan tidak dapat dicetak tanpa biaya; Bitcoin tidak akan merugikan pengguna untuk membayar tebusan,” tulis Blockstream.

Pernyataan tersebut menyentuh inti keuangan dari sengketa ini. Pada akhirnya, seseorang harus bertanggung jawab atas hampir 600 BTC yang belum dikembalikan. Posisi Blockstream adalah bahwa pengguna tidak boleh secara efektif membiayai pembayaran tebusan kepada pihak yang mengambilnya. Perusahaan tersebut menyatakan bahwa negosiasi sebelumnya dilakukan dengan itikad baik untuk memulihkan dana pengguna, bukan karena menerima syarat-syarat para peretas.

Peringatan Keamanan Menambah Lagi Kompleksitas

Ada komplikasi lain yang membayangi kasus ini. Salah satu pimpinan Bitcoin Red Team, Calle, mengklaim bahwa kelompoknya telah memperingatkan Blockstream mengenai kerentanan tersebut sebelum eksploitasi terjadi, sambil menyindir bahwa tampaknya “mengabaikan email dari tim merah” telah menghabiskan biaya sebesar “600 BTC.”

Mantan Kepala Keamanan Blockstream, Samson Mow, membantahnya, dengan mengatakan tidak ada email yang diabaikan. Kedua versi cerita tersebut belum sepenuhnya diselaraskan, dan Bitcoin Red Team telah menyatakan niatnya untuk mempublikasikan versinya sendiri mengenai proses pengungkapan setelah Blockstream merilis laporan pasca-insiden.

Jadi, Blockstream kini harus menghadapi dua perdebatan sekaligus: apa yang terjadi sebelum eksploitasi dan apa yang seharusnya terjadi pada Bitcoin setelahnya. Selain kerugian hampir 600 BTC, perusahaan ini juga terpaksa menghadapi dampak reputasi dari seluruh insiden tersebut, yang dengan cepat berubah menjadi bencana hubungan masyarakat.

"Tulis kode berkualitas buruk, hadapi masalah besar," tulis seorang pengguna X sebagai balasan atas tuntutan terbaru Blockstream. "Bitcoin dirancang tanpa izin. Jangan menangis minta tolong ke pihak berwenang sekarang setelah kalian membuat kekacauan karena kode yang buruk," tambah akun tersebut. "Blockstream sedang menembak kaki sendiri dengan mengkhianati orang yang memberi mereka 3.400 BTC," tulis akun X lainnya. Orang tersebut menambahkan:

"Lain kali Liquid kehabisan dana, mereka akan menyimpan 100% koinnya. Berhentilah bersikap pelit dan bertanggung jawablah atas kesalahanmu."

Blockstream Mengancam Akan Melakukan Perburuan yang Jauh Lebih Besar

Pesan terbaru Blockstream tidak meninggalkan keraguan mengenai pertanyaan kedua.

Jika dana tersebut tidak dikembalikan, perusahaan mengatakan berencana bekerja sama dengan penegak hukum, bursa, penyedia layanan, spesialis forensik, dan pihak lain untuk melacak bitcoin tersebut serta mengidentifikasi pihak yang bertanggung jawab. Perusahaan juga menyoroti satu hal yang tidak menguntungkan bagi siapa pun yang mencoba menghilangkan hampir 600 BTC: transaksi Bitcoin meninggalkan jejak publik yang permanen.

Bagi sebuah kelompok yang awalnya menyebut diri mereka white hat, situasinya telah berkembang jauh dari sekadar laporan bug. Hampir 4.000 BTC hilang. Sebagian besar telah kembali. Ratusan bitcoin tidak. Dan jawaban Blockstream terhadap tuntutan yang tersisa kini hanya empat kata:

“Kembalikan bitcoin tersebut.”