A equipe de segurança, que já identificou milhares de vulnerabilidades, deu a entender que havia divulgado anteriormente a falha que permitiu que um hacker de chapéu branco assumisse o controle de quase 4.000 BTC. Calle, que lidera a equipe, destacou que a Blockstream ignorou seus e-mails antes do incidente.
Equipe de testes de invasão do Bitcoin alega que a Blockstream ignorou os alertas antes do ataque
ESCRITO POR
PARTILHAR
Principais conclusões
- A Bitcoin Red Team alegou ter alertado a Blockstream antes do ataque, alimentando o debate sobre perdas que poderiam ter sido evitadas.
- A Blockstream negou ter ignorado os alertas de segurança, atribuindo a vulnerabilidade a uma correção de bug de IA com falha.
- A Liquid restaurou as transações em 10 de setembro, mas as saídas de paridade continuam desativadas, com quase 600 BTC ainda desaparecidos.
A Bitcoin Red Team teria relatado um bug na Liquid antes do incidente envolvendo 4.000 BTC
Enquanto a luta para recuperar os cerca de 600 BTC restantes do incidente de exploração da Liquid continua, um grupo de desenvolvedores de segurança apontou que esse roubo poderia ter sido evitado desde o início.
A Bitcoin Red Team, um grupo de voluntários dedicado à auditoria e à divulgação de vulnerabilidades em projetos alinhados ao bitcoin — que ganhou destaque após a exploração do Coldcard —, sinalizou indiretamente que já havia divulgado a vulnerabilidade explorada para transferir cerca de 4.000 BTC das carteiras da federação Liquid.
Respondendo a uma postagem do fundador e CEO da Blockstream, Adam Back, que explicou que o bug que permitiu que o hack ocorresse foi introduzido “devido a uma correção incorreta de um bug, em um bug detectado por IA que também não era crítico”, o co-líder da Bitcoin Red Team, Calle, afirmou:
“Acontece que custa apenas 600 BTC ignorar um e-mail da equipe de segurança.”
Calle continuou, afirmando que as declarações de Back eram imprecisas e que a Blockstream havia apenas “mencionado seletivamente e de forma imprecisa os patches, sem um histórico completo e muito claro de reconhecimento”.
No entanto, o ex-CSO da Blockstream, Samson Mow, enfatizou que nenhum e-mail foi ignorado, declarando que essas insinuações menosprezavam o profissionalismo da Red Team.
“Daremos tempo à Blockstream para restaurar as operações normais e publicar uma análise pós-incidente sobre o hack da Liquid antes de compartilharmos nosso próprio relato completo do processo de divulgação”, concluiu Calle, sugerindo que há versões conflitantes dos mesmos eventos que levaram ao hack.
Embora a rede da sidechain estivesse suspensa desde que o incidente foi divulgado, em 10 de setembro, a Liquid reiniciou a produção de blocos sem habilitar transações. No momento da redação deste artigo, as transações já foram habilitadas e os nós estão validando blocos. No entanto, os “peg-outs” permanecem desativados “como medida de precaução”, sem prazo definido para sua retomada.
O hacker de chapéu branco ainda controla o BTC restante, o que significa que um terceiro teria que depositar os ativos necessários para garantir uma paridade de 1:1 entre o BTC e o L-BTC, o ativo nativo da Liquid.
Este artigo foi traduzido do inglês usando IA. A versão original em inglês é a fonte autorizada; traduções automáticas podem conter imprecisões, especialmente em terminologia jurídica e regulatória.
