Il braccio di ferro tra Blockstream e i cosiddetti “white hat” responsabili della vulnerabilità del Liquid Network ha subito una forte accelerazione mercoledì, dopo che il gruppo ha chiesto un premio del 10% per la segnalazione del bug e ha minacciato ulteriori perdite per i possessori.
Gli hacker di Blockstream chiedono una ricompensa del 10% e minacciano una perdita del 15% per i possessori
SCRITTO DA
CONDIVIDI
Punti chiave
- Gli hacker di Blockstream hanno chiesto una ricompensa pari al 10% pur detenendo ancora 598,5 BTC.
- I "white hat" di Liquid hanno restituito 3.400 BTC, ma la controversia è entrata nel vivo il 9 settembre.
- Blockstream potrebbe trovarsi di fronte a ulteriori rivelazioni se gli hacker pubblicassero la loro chiave privata a seguito della disputa sul 10%.
I white hat passano all’attacco con una richiesta del 10%
L’ultimo messaggio è apparso sulla blockchain di Bitcoin tramite OP_RETURN, una funzionalità che consente agli utenti di allegare piccoli frammenti di dati alle transazioni. Lo stesso meccanismo è diventato un canale di comunicazione inaspettato tra Blockstream e il gruppo.
Gli hacker hanno accusato Blockstream di non aver protetto adeguatamente miliardi di dollari in asset, sostenendo che l’azienda abbia stanziato solo 1,5 milioni di dollari, «forse addirittura 0», per la sicurezza. Il messaggio ha definito la presunta situazione «una flagrante negligenza in materia di sicurezza e un segno di totale cattiva gestione».
Le affermazioni relative alla spesa di Blockstream per la sicurezza provengono direttamente dagli hacker e non sono state verificate in modo indipendente da Bitcoin.com News.
598,5 BTC al centro di una situazione di stallo sempre più tesa
Il messaggio fa seguito a una vicenda rocambolesca iniziata il 6 settembre, quando il gruppo ha sottratto quasi 4.000 BTC dalle riserve di Liquid prima di identificarsi on-chain come white hat e chiedere a Blockstream di contattarli.
Blockstream ha successivamente comunicato con il gruppo tramite transazioni Bitcoin e messaggi crittografati. Lunedì, gli hacker hanno restituito 3.400 BTC al portafoglio della federazione, ma hanno trattenuto circa 598,5 BTC.
Quella somma residua è ora al centro della controversia. Il gruppo ha detto a Blockstream: «Dovrete pagare il 10% utilizzando i vostri stessi fondi come ricompensa per la segnalazione del bug», prima di avvertire che un rifiuto potrebbe «causare a tutti i vostri possessori una perdita del 15%».
Gli hacker affermano che le conversazioni private potrebbero essere rese pubbliche
L’ultimo messaggio suggerisce inoltre che il lato privato delle trattative potrebbe alla fine diventare di dominio pubblico. Il gruppo ha lasciato intendere di avere intenzione di «pubblicare la chiave privata per decriptare le nostre conversazioni in un secondo momento».
Se ciò dovesse avvenire, si potrebbero rendere pubbliche le comunicazioni crittografate scambiate tra Blockstream e gli hacker durante le trattative, fornendo potenzialmente ulteriori dettagli sulla vulnerabilità e sulle discussioni relative ai bitcoin restituiti. Molti di questi messaggi erano crittografati.
Gli hacker hanno inoltre sostenuto che le aziende che partecipano ai programmi di bug bounty non possono garantire la completa sicurezza, accusando al contempo Blockstream di rimanere “illusa, avida e arrogante”.
La situazione di stallo con Blockstream non è ancora superata
D’altro canto, definire il gruppo come “white hat” è diventato sempre più complicato. Trattenere quasi 600 BTC mentre si esige un pagamento e si minacciano ulteriori perdite solleva interrogativi su dove finisca la divulgazione delle vulnerabilità e dove inizi la coercizione.
Per ora, la situazione è tutt’altro che risolta. I 598,5 BTC rimangono l’elemento principale da tenere d’occhio, insieme alla risposta di Blockstream alla richiesta del 10% e alla possibilità che gli hacker mantengano la promessa di pubblicare le chiavi necessarie per rivelare le loro comunicazioni private.
Questo articolo è stato tradotto dall'inglese tramite IA. La versione originale in inglese è la fonte autorevole; le traduzioni automatiche possono contenere imprecisioni, in particolare nella terminologia legale e normativa.
