'Devolvam o Bitcoin': Blockstream estabelece um limite após o ataque cibernético de 4.000 BTC

Restam quase 4.000 BTC, mas a maior parte já foi devolvida

Todo o episódio começou em 6 de setembro com algo que já parecia bastante estranho: quase 4.000 BTC desapareceram das reservas ligadas à Rede Liquid da Blockstream, e os responsáveis anunciaram imediatamente na blockchain do Bitcoin que eram “whitehats”. Então, as coisas ficaram ainda mais estranhas.

O grupo começou a se comunicar com a Blockstream por meio de pequenas transações de bitcoin contendo mensagens OP_RETURN, transformando efetivamente a blockchain em um quadro de mensagens público. Após uma série de trocas públicas e criptografadas, o grupo devolveu 3.400 BTC.

Mas cerca de 598,5 BTC ficaram para trás. Foi aí que a história saiu dos trilhos.

Uma recompensa de 10% se transforma em um ultimato

Em vez de simplesmente devolver o restante, o grupo exigiu que a Blockstream pagasse uma recompensa de 10% com seu próprio dinheiro. Também alertou que recusar a exigência poderia fazer com que os detentores do Liquid enfrentassem uma perda de 15%. Chamá-lo de divulgação comum de vulnerabilidade tornou-se cada vez mais difícil.

Pesquisadores de “chapéu branco” geralmente identificam falhas de segurança, as relatam e negociam uma remuneração por meio de canais estabelecidos. Neste caso, quase 600 BTC estavam sendo retidos enquanto se exigia o pagamento. A Blockstream deixou claro agora que vê essa distinção de maneira muito diferente.

“A Blockstream não pagará resgate pela devolução de fundos roubados”, enfatizou a empresa em 11 de setembro no X. “Apropriar-se de ativos sem autorização e reter sua devolução é um crime, não uma divulgação responsável.”

Blockstream afirma que os detentores de Bitcoin não arcarão com os custos

A empresa também rejeitou a ideia de que os usuários do Liquid devam arcar com as perdas para satisfazer a exigência. “O Bitcoin é uma moeda sólida e não pode ser cunhado sem custos; o Bitcoin não impõe perdas aos usuários para pagar um resgate”, escreveu a Blockstream.

Essa afirmação vai ao cerne financeiro da disputa. Alguém, em última instância, terá que arcar com os quase 600 BTC que não foram devolvidos. A posição da Blockstream é que os usuários não devem, na prática, financiar um pagamento às pessoas que os roubaram. A empresa afirmou que suas negociações anteriores foram conduzidas de boa-fé para recuperar os fundos dos usuários, e não porque aceitou os termos dos hackers.

Alertas de segurança trazem mais uma reviravolta

Há outra complicação pairando sobre o caso. Calle, co-líder da Bitcoin Red Team, alegou que seu grupo alertou a Blockstream sobre a vulnerabilidade antes da exploração, comentando ironicamente que aparentemente custou “600 BTC para ignorar um e-mail da equipe vermelha”.

O ex-diretor de segurança da Blockstream, Samson Mow, rebateu, afirmando que nenhum e-mail foi ignorado. As versões conflitantes ainda não foram totalmente conciliadas, e a Bitcoin Red Team declarou que pretende publicar sua própria versão do processo de divulgação depois que a Blockstream divulgar uma análise pós-incidente.

Assim, a Blockstream agora enfrenta duas questões ao mesmo tempo: o que aconteceu antes da exploração da vulnerabilidade e o que deve acontecer com os bitcoins depois disso. Além da perda de quase 600 BTC, a empresa também foi forçada a lidar com as consequências para sua reputação decorrentes de todo o episódio, que rapidamente se transformou em um desastre de relações públicas.

“Escreva código de má qualidade, tenha problemas sérios”, escreveu um usuário do X em resposta à última exigência da Blockstream. “O bitcoin é, por definição, sem permissão. Não vá chorar para as autoridades agora que você estragou tudo com um código ruim”, acrescentou a conta. “A Blockstream está dando um tiro no próprio pé ao trair o cara que lhes deu 3.400 BTC”, escreveu outra conta do X. A pessoa acrescentou:

“Da próxima vez que o Liquid for esvaziado, eles ficarão com 100% das moedas. Parem de ser tão mesquinhos e assumam a responsabilidade pela sua c***.”

Blockstream ameaça uma caçada muito maior

A mensagem mais recente da Blockstream deixa pouca ambiguidade sobre a segunda questão.

Se os fundos não forem devolvidos, a empresa afirma que planeja trabalhar com autoridades policiais, corretoras, prestadores de serviços, especialistas forenses e outros para rastrear os bitcoins e identificar os responsáveis. A empresa também destacou uma característica inconveniente para quem tenta fazer quase 600 BTC desaparecerem: as transações de bitcoin deixam um rastro público permanente.

Para um grupo que originalmente se autodenominava “white hat”, a situação já foi muito além de um simples relato de bug. Quase 4.000 BTC foram roubados. A maioria foi recuperada. Centenas de bitcoins não foram. E a resposta da Blockstream à exigência restante agora tem apenas quatro palavras:

“Devolvam os bitcoins.”