„Zwróćcie bitcoiny”: Blockstream stawia granicę po ataku hakerskim, w wyniku którego skradziono 4 000 BTC

Pozostało prawie 4 000 BTC, ale większość z nich została odzyskana

Cała sprawa rozpoczęła się 6 września od zdarzenia, które już wtedy wydawało się dość dziwne: z rezerw powiązanych z siecią Liquid firmy Blockstream zniknęło prawie 4 000 BTC, a osoby odpowiedzialne za to natychmiast ogłosiły w łańcuchu bloków Bitcoina, że są „whitehatami”. Potem sprawy przybrały jeszcze dziwniejszy obrót.

Grupa zaczęła komunikować się z Blockstream za pomocą niewielkich transakcji bitcoinowych zawierających komunikaty OP_RETURN, skutecznie zamieniając łańcuch bloków w publiczną tablicę ogłoszeń. Po serii publicznych i zaszyfrowanych wymian grupa zwróciła 3 400 BTC.

Jednak około 598,5 BTC pozostało. W tym momencie historia wymknęła się spod kontroli.

10-procentowa nagroda zamienia się w ultimatum

Zamiast po prostu zwrócić resztę, grupa zażądała od Blockstream wypłacenia 10-procentowej nagrody z własnych środków. Ostrzegła również, że odmowa spełnienia żądania może narazić posiadaczy Liquid na 15-procentową stratę. Coraz trudniej było nazwać to zwykłym ujawnieniem luki w zabezpieczeniach.

Badacze typu „white hat” zazwyczaj identyfikują luki w zabezpieczeniach, zgłaszają je i negocjują wynagrodzenie poprzez ustalone kanały. W tym przypadku zatrzymano prawie 600 BTC, żądając jednocześnie zapłaty. Firma Blockstream jasno dała teraz do zrozumienia, że postrzega tę kwestię zupełnie inaczej.

„Blockstream nie zapłaci okupu za zwrot skradzionych środków” – podkreśliła firma 11 września na platformie X. „Przywłaszczenie aktywów bez upoważnienia i wstrzymywanie ich zwrotu stanowi przestępstwo, a nie odpowiedzialne ujawnienie”.

Blockstream twierdzi, że posiadacze bitcoinów nie pokryją kosztów

Firma odrzuciła również pomysł, że użytkownicy Liquid powinni ponieść straty, aby zaspokoić żądania. „Bitcoin jest twardą walutą i nie można go wyemitować bez ponoszenia kosztów; Bitcoin nie obciąża użytkowników kosztami zapłaty okupu” – napisał Blockstream.

To stwierdzenie dotyka finansowego sedna sporu. Ktoś ostatecznie musi rozliczyć się z prawie 600 BTC, które nie zostały zwrócone. Stanowisko Blockstream jest takie, że użytkownicy nie powinni w praktyce finansować wypłaty dla osób, które je zabrały. Firma stwierdziła, że wcześniejsze negocjacje prowadziła w dobrej wierze, aby odzyskać środki użytkowników, a nie dlatego, że zaakceptowała warunki hakerów.

Ostrzeżenia dotyczące bezpieczeństwa wprowadzają kolejny zwrot akcji

Nad całą sprawą wisi jeszcze jedna komplikacja. Współkierownik zespołu Bitcoin Red Team, Calle, twierdzi, że jego grupa ostrzegła Blockstream o luce w zabezpieczeniach przed wykorzystaniem luki, dodając z ironią, że „zignorowanie e-maila od zespołu Red Team najwyraźniej kosztowało 600 BTC”.

Były dyrektor ds. bezpieczeństwa Blockstream, Samson Mow, zaprzeczył tym doniesieniom, twierdząc, że żadne e-maile nie zostały zignorowane. Sprzeczne relacje nie zostały w pełni pogodzone, a Bitcoin Red Team oświadczył, że zamierza opublikować własną relację z procesu ujawnienia luki po tym, jak Blockstream opublikuje raport podsumowujący zdarzenie.

Blockstream zmaga się więc obecnie z dwoma problemami naraz: tym, co wydarzyło się przed atakiem, oraz tym, co powinno stać się z bitcoinami po nim. Oprócz straty prawie 600 BTC firma została również zmuszona do zmierzenia się z negatywnymi skutkami dla reputacji wynikającymi z całego incydentu, który szybko przerodził się w katastrofę wizerunkową.

„Piszesz kod niskiej jakości – masz poważne problemy” – napisał jeden z użytkowników X w odpowiedzi na najnowsze żądanie Blockstream. „Bitcoin z założenia nie wymaga zezwoleń. Nie płaczcie teraz do władz, skoro nawaliliście z kiepskim kodem” – dodało to konto. „Blockstream strzela sobie w stopę, wbijając nóż w plecy facetowi, który dał im 3 400 BTC” – napisał inny użytkownik serwisu X. Osoba ta dodała:

„Następnym razem, gdy Liquid zostanie opróżniony, zatrzymają 100% monet. Przestańcie być tacy skąpi i weźcie odpowiedzialność za swoje pieprzone wpadki”.

Blockstream grozi znacznie większym polowaniem

Najnowszy komunikat Blockstream nie pozostawia wątpliwości co do drugiego pytania.

Jeśli środki nie zostaną zwrócone, firma twierdzi, że planuje współpracować z organami ścigania, giełdami, dostawcami usług, specjalistami kryminalistycznymi i innymi podmiotami w celu wyśledzenia bitcoinów i zidentyfikowania osób odpowiedzialnych. Firma zwróciła również uwagę na jedną niewygodną cechę dla każdego, kto próbuje sprawić, by zniknęło prawie 600 BTC: transakcje bitcoinowe pozostawiają trwały, publiczny ślad.

Dla grupy, która początkowo nazywała się „white hat”, sytuacja znacznie odeszła od zwykłego zgłoszenia błędu. Zostało prawie 4 000 BTC. Większość wróciła. Setki bitcoinów nie. A odpowiedź Blockstream na pozostałe żądanie składa się teraz z czterech słów:

„Zwróćcie bitcoiny”.