'Geef de Bitcoin terug': Blockstream trekt een grens na hack van 4.000 BTC

Er is nog bijna 4.000 BTC over, maar het grootste deel is teruggekomen

De hele episode begon op 6 september met iets dat op zich al vreemd genoeg klonk: bijna 4.000 BTC verdween uit reserves die verbonden waren met het Liquid-netwerk van Blockstream, en de verantwoordelijken lieten onmiddellijk via de Bitcoin-blockchain weten dat ze „whitehats“ waren. Daarna werd het nog vreemder.

De groep begon met Blockstream te communiceren via minuscule bitcointransacties met OP_RETURN-berichten, waardoor de blockchain in feite veranderde in een openbaar prikbord. Na een reeks openbare en versleutelde uitwisselingen gaf de groep 3.400 BTC terug.

Maar ongeveer 598,5 BTC bleef achter. Op dat moment liep het verhaal volledig uit de hand.

Een beloning van 10% verandert in een ultimatum

In plaats van simpelweg de rest terug te geven, eiste de groep dat Blockstream een premie van 10% zou betalen uit eigen zak. Ook waarschuwde de groep dat het weigeren van deze eis ertoe zou kunnen leiden dat Liquid-houders met een verlies van 15% zouden worden geconfronteerd. Het werd steeds moeilijker om dit nog een gewone melding van een kwetsbaarheid te noemen.

White-hat-onderzoekers brengen doorgaans beveiligingsfouten in kaart, melden deze en onderhandelen via gevestigde kanalen over een vergoeding. In dit geval werd bijna 600 BTC achtergehouden terwijl er betaling werd geëist. Blockstream heeft nu duidelijk gemaakt dat het dit onderscheid heel anders ziet.

„Blockstream zal geen losgeld betalen voor de teruggave van gestolen middelen“, benadrukte het bedrijf op 11 september op X. „Het zonder toestemming wegnemen van activa en het achterhouden van de teruggave ervan is een misdrijf, geen verantwoorde openbaarmaking.“

Blockstream zegt dat Bitcoin-houders de rekening niet zullen betalen

Het bedrijf verwierp ook het idee dat Liquid-gebruikers verliezen zouden moeten dragen om aan de eis te voldoen. „Bitcoin is hard geld en kan niet zonder kosten worden geslagen; Bitcoin legt gebruikers geen verlies op om losgeld te betalen“, schreef Blockstream.

Die uitspraak raakt de financiële kern van het geschil. Iemand moet uiteindelijk verantwoording afleggen voor de bijna 600 BTC die niet zijn teruggegeven. Het standpunt van Blockstream is dat gebruikers in feite geen uitbetaling mogen financieren aan de mensen die het geld hebben weggenomen. Het bedrijf zei dat de eerdere onderhandelingen te goeder trouw werden gevoerd om het geld van gebruikers terug te krijgen, niet omdat het de voorwaarden van de hackers accepteerde.

Beveiligingswaarschuwingen zorgen voor een nieuwe wending

Er hangt nog een complicatie boven de zaak. Calle, mede-leider van het Bitcoin Red Team, beweert dat zijn groep Blockstream vóór de aanval had gewaarschuwd voor de kwetsbaarheid, en merkte grappend op dat het blijkbaar „600 BTC heeft gekost om een e-mail van het red team te negeren“.

Samson Mow, voormalig Chief Security Officer bij Blockstream, weerlegde dit en zei dat er geen e-mails werden genegeerd. De tegenstrijdige versies zijn nog niet volledig met elkaar in overeenstemming gebracht, en het Bitcoin Red Team heeft aangegeven van plan te zijn zijn eigen verslag van het meldingsproces te publiceren nadat Blockstream een postmortem heeft uitgebracht.

Blockstream moet nu dus twee discussies tegelijk voeren: wat er vóór de aanval gebeurde en wat er daarna met de bitcoin moet gebeuren. Naast het verlies van bijna 600 BTC heeft het bedrijf ook te maken gekregen met de reputatieschade als gevolg van de hele episode, die al snel is uitgemond in een PR-ramp.

"Schrijf slechte code, krijg grote problemen", schreef een X-gebruiker in reactie op de laatste eis van Blockstream. "Bitcoin is per definitie zonder toestemming. Ga nu niet bij de autoriteiten gaan huilen nu je het verprutst hebt met slechte code,” voegde het account eraan toe. “Blockstream schiet zichzelf in de voet door de man die hen 3.400 BTC gaf in de rug te steken,” schreef een ander X-account. De persoon voegde eraan toe:

"De volgende keer dat Liquid leeggehaald wordt, houden ze 100% van de munten. Doe niet zo gierig en neem verantwoordelijkheid voor je f***up.”

Blockstream dreigt met een veel grotere jacht

Het laatste bericht van Blockstream laat weinig ruimte voor onduidelijkheid over de tweede vraag.

Als het geld niet wordt teruggegeven, zegt het bedrijf dat het van plan is samen te werken met wetshandhavers, beurzen, dienstverleners, forensische specialisten en anderen om de bitcoin te traceren en de verantwoordelijken te identificeren. Het bedrijf wees ook op een ongemakkelijk kenmerk voor iedereen die bijna 600 BTC probeert te laten verdwijnen: Bitcoin-transacties laten een permanent openbaar spoor achter.

Voor een groep die zichzelf oorspronkelijk ‘white hat’ noemde, is de situatie inmiddels ver verwijderd van een bugrapport. Er was bijna 4.000 BTC verdwenen. Het grootste deel is teruggekomen. Honderden bitcoins niet. En het antwoord van Blockstream op de resterende eis bestaat nu uit vier woorden:

“Geef de bitcoins terug.”