'Restituite i Bitcoin': Blockstream traccia una linea di demarcazione dopo l'attacco hacker da 4.000 BTC

Rimangono quasi 4.000 BTC, ma la maggior parte è stata recuperata

L’intera vicenda è iniziata il 6 settembre con un evento che già di per sé sembrava abbastanza strano: quasi 4.000 BTC sono scomparsi dalle riserve collegate alla rete Liquid di Blockstream e i responsabili hanno immediatamente annunciato sulla blockchain di Bitcoin di essere dei “whitehat”. Poi le cose sono diventate ancora più strane.

Il gruppo ha iniziato a comunicare con Blockstream tramite minuscole transazioni in bitcoin contenenti messaggi OP_RETURN, trasformando di fatto la blockchain in una bacheca pubblica. Dopo una serie di scambi pubblici e crittografati, il gruppo ha restituito 3.400 BTC.

Ma circa 598,5 BTC sono rimasti lì. È a questo punto che la storia ha preso una piega inaspettata.

Una ricompensa del 10% si trasforma in un ultimatum

Invece di restituire semplicemente il resto, il gruppo ha preteso che Blockstream pagasse una ricompensa del 10% attingendo dai propri fondi. Ha inoltre avvertito che rifiutare la richiesta avrebbe potuto esporre i possessori di Liquid a una perdita del 15%. Definire questa vicenda una normale segnalazione di vulnerabilità è diventato sempre più difficile.

I ricercatori white-hat generalmente individuano le falle di sicurezza, le segnalano e negoziano un compenso attraverso canali consolidati. In questo caso, quasi 600 BTC venivano trattenuti mentre si esigeva il pagamento. Blockstream ha ora chiarito di vedere la questione in modo molto diverso.

«Blockstream non pagherà un riscatto per la restituzione dei fondi rubati», ha sottolineato l’azienda l’11 settembre su X. «Appropriarsi di beni senza autorizzazione e trattenerne la restituzione è un reato, non una segnalazione responsabile».

Blockstream afferma che i possessori di Bitcoin non pagheranno il riscatto

L’azienda ha inoltre respinto l’idea che gli utenti di Liquid debbano assorbire le perdite per soddisfare la richiesta. «Il Bitcoin è una moneta forte e non può essere coniato senza costi; il Bitcoin non applica una riduzione di valore agli utenti per pagare un riscatto», ha scritto Blockstream. Questa affermazione va al cuore finanziario della controversia. Qualcuno, in definitiva, dovrà rispondere dei quasi 600 BTC che non sono stati restituiti. La posizione di Blockstream è che gli utenti non dovrebbero di fatto finanziare un pagamento a favore di chi li ha sottratti. L’azienda ha affermato che le sue precedenti trattative sono state condotte in buona fede per recuperare i fondi degli utenti, non perché avesse accettato le condizioni degli hacker.

Gli avvisi di sicurezza aggiungono un’ulteriore svolta

C’è un’altra complicazione che incombe sulla vicenda. Calle, co-responsabile del Bitcoin Red Team, ha affermato che il suo gruppo aveva avvertito Blockstream della vulnerabilità prima dell’attacco, osservando ironicamente che a quanto pare “ignorare un’e-mail del red team è costato 600 BTC”.

L’ex responsabile della sicurezza di Blockstream, Samson Mow, ha respinto l’accusa, affermando che nessuna e-mail è stata ignorata. Le versioni contrastanti non sono state ancora completamente riconciliate e il Bitcoin Red Team ha dichiarato che intende pubblicare la propria versione del processo di segnalazione dopo che Blockstream avrà rilasciato un’analisi post-incidente.

Blockstream si trova quindi a dover affrontare due controversie contemporaneamente: ciò che è accaduto prima dello sfruttamento della vulnerabilità e cosa dovrebbe succedere al bitcoin in seguito. Oltre alla perdita di quasi 600 BTC, l’azienda è stata costretta a fare i conti anche con le ripercussioni sulla reputazione derivanti dall’intero episodio, che si è rapidamente trasformato in un disastro di pubbliche relazioni.

«Scrivi codice di scarsa qualità, avrai grossi problemi», ha scritto un utente di X in risposta all’ultima richiesta di Blockstream. «Bitcoin è per sua natura senza autorizzazioni. Non andate a piangere dalle autorità ora che avete combinato un pasticcio con del codice scadente», ha aggiunto l’account. «Blockstream si sta dando la zappa sui piedi pugnalando alle spalle il tizio che ha dato loro 3.400 BTC», ha scritto un altro account su X. L’utente ha aggiunto:

«La prossima volta che Liquid verrà prosciugato, si terranno il 100% delle monete. Smettetela di essere così tirchi e assumetevi la responsabilità del vostro casino».

Blockstream minaccia una caccia molto più massiccia

L’ultimo messaggio di Blockstream non lascia spazio a dubbi sulla seconda domanda.

Se i fondi non verranno restituiti, l’azienda afferma di voler collaborare con le forze dell’ordine, gli exchange, i fornitori di servizi, gli esperti forensi e altri soggetti per rintracciare i bitcoin e identificare i responsabili. L’azienda ha inoltre sottolineato una caratteristica scomoda per chiunque cerchi di far sparire quasi 600 BTC: le transazioni in bitcoin lasciano una traccia pubblica permanente.

Per un gruppo che in origine si definiva “white hat”, la situazione si è allontanata di molto da una semplice segnalazione di bug. Sono rimasti quasi 4.000 BTC. La maggior parte è stata restituita. Centinaia di bitcoin no. E la risposta di Blockstream alla richiesta rimanente ora si riassume in quattro parole:

«Restituite i bitcoin.»