En gruppe som tømte nesten 4 000 BTC fra Blockstreams Liquid Network returnerte 3 400 BTC, beholdt rundt 598,5 BTC, krevde en dusør på 10 % og advarte om at L-BTC-innehavere kunne stå overfor et tap på 15 %. Nå har Blockstream svart med et uvanlig direkte ultimatum: Det vil ikke betale. Selskapet sier at det å ta bitcoinene var tyveri, ikke «white-hat» sikkerhetsforskning, og har truet med å involvere politiet, børser og blokkjedeetterforskere i kampen dersom de resterende midlene ikke returneres.
'Returner Bitcoin': Blockstream trekker en grense etter hack av 4 000 BTC
SKREVET AV
DEL
Viktige punkter
- Blockstream avviste et krav om 10 % dusør mens hackere fortsatt sitter på omtrent 598,5 BTC.
- Angriperne mot Liquid returnerte 3 400 BTC etter å ha tappet nær 4 000 BTC 6. september.
- Blockstream sier at politiet og børser kan bli med i jakten på de gjenværende 598,5 BTC.
Nesten 4 000 BTC forsvant, men det meste kom tilbake
Hele episoden begynte 6. september med noe som allerede hørtes merkelig nok ut: Nesten 4 000 BTC forsvant fra reserver knyttet til Blockstreams Liquid Network, og de ansvarlige kunngjorde umiddelbart på Bitcoin-blokkjeden at de var «whitehats». Så ble ting enda merkeligere.
Gruppen begynte å kommunisere med Blockstream gjennom små bitcoin-transaksjoner som bar OP_RETURN-meldinger, og gjorde i praksis blokkjeden til en offentlig oppslagstavle. Etter en serie offentlige og krypterte utvekslinger returnerte gruppen 3 400 BTC.
Men omtrent 598,5 BTC ble liggende igjen. Det er her historien sporet av.
En dusør på 10 % blir til et ultimatum
I stedet for bare å returnere resten, krevde gruppen at Blockstream betalte en dusør på 10 % med sine egne penger. Den advarte også om at det å nekte kravet kunne etterlate Liquid-innehavere med et tap på 15 %. Å kalle dette ordinær sårbarhetsrapportering ble stadig vanskeligere.
White-hat-forskere identifiserer vanligvis sikkerhetsfeil, rapporterer dem og forhandler kompensasjon gjennom etablerte kanaler. Her ble nesten 600 BTC holdt tilbake mens betaling ble krevd. Blockstream har nå gjort det klart at selskapet ser skillet helt annerledes.
«Blockstream vil ikke betale løsepenger for å få tilbake stjålne midler», understreket selskapet 11. september på X. «Å ta eiendeler uten autorisasjon og holde tilbake tilbakeleveringen er en forbrytelse, ikke ansvarlig rapportering.»
Blockstream sier at bitcoin-innehavere ikke skal betale regningen
Selskapet avviste også ideen om at Liquid-brukere skal ta tap for å oppfylle kravet. «Bitcoin er harde penger og kan ikke preges uten kostnader, Bitcoin klipper ikke brukere for å betale løsepenger», skrev Blockstream.
Den linjen går til den økonomiske kjernen i striden. Noen må til slutt gjøre opp for de nesten 600 BTC som ikke er returnert. Blockstreams posisjon er at brukere ikke i praksis skal finansiere en utbetaling til dem som tok dem. Selskapet sa at de tidligere forhandlingene ble gjennomført i god tro for å få tilbake brukermidler, ikke fordi det aksepterte hackernes vilkår.
Sikkerhetsadvarsler legger til en ny vending
Det er en annen komplikasjon som henger over saken. Bitcoin Red Team-medleder Calle har hevdet at gruppen hans advarte Blockstream om sårbarheten før utnyttelsen, og spøkte med at det tilsynelatende kostet «600 BTC å ignorere en e-post fra red teamet».
Tidligere Blockstream-sikkerhetssjef Samson Mow avviste dette og sa at ingen e-poster ble ignorert. De konkurrerende fremstillingene er ikke fullt ut avklart, og Bitcoin Red Team har sagt at det har til hensikt å publisere sin egen redegjørelse for varslingsprosessen etter at Blockstream publiserer en postmortem.
Så Blockstream kjemper nå to diskusjoner samtidig: hva som skjedde før utnyttelsen og hva som bør skje med bitcoinene etterpå. Utover tapet av nesten 600 BTC har selskapet også blitt tvunget til å håndtere omdømmetapet fra hele episoden, som raskt har utviklet seg til en PR-katastrofe.
«Skriv kode av dårlig kvalitet, få dårlige problemer», skrev en X-bruker som svar på Blockstreams siste krav. «Bitcoin er tillatelsesfritt av design. Ikke begynn å gråte til myndighetene nå som dere rotet det til med dårlig kode», la kontoen til. «Blockstream skyter seg selv i foten ved å dolke fyren som ga dem 3 400 BTC i ryggen», skrev en annen X-konto. Vedkommende la til:
“Neste gang Liquid blir tappet, vil de beholde 100 % av myntene. Slutt å være så gjerrige og ta ansvar for f***up-en deres.”
Blockstream truer med en mye større jakt
Blockstreams siste melding etterlater liten tvil om det andre spørsmålet.
Hvis midlene ikke blir returnert, sier selskapet at det planlegger å samarbeide med politiet, børser, tjenesteleverandører, forensiske spesialister og andre for å spore bitcoinene og identifisere de ansvarlige. Selskapet pekte også på én upraktisk egenskap for alle som prøver å få nesten 600 BTC til å forsvinne: Bitcoin-transaksjoner etterlater et permanent offentlig spor.
For en gruppe som opprinnelig kalte seg white hat, har situasjonen beveget seg langt bort fra en feilrapport. Nesten 4 000 BTC forsvant. Det meste kom tilbake. Hundrevis av bitcoin gjorde ikke det. Og Blockstreams svar på det gjenværende kravet er nå fire ord langt:
«Returner bitcoinene.»
Denne artikkelen er oversatt fra engelsk ved hjelp av kunstig intelligens. Den originale engelske versjonen er den autoritative kilden; automatiske oversettelser kan inneholde unøyaktigheter, særlig i juridisk og regulatorisk terminologi.
