«Верните биткоины»: Blockstream ставит точку после взлома, в результате которого было похищено 4 000 BTC

Осталось почти 4 000 BTC, но большая часть уже возвращена

Вся эта история началась 6 сентября с события, которое уже тогда казалось достаточно странным: почти 4 000 BTC исчезли из резервов, подключенных к сети Liquid компании Blockstream, и виновные сразу же объявили в блокчейне Биткойна, что они являются «белыми хакерами». Затем ситуация стала ещё более странной.

Группа начала общаться с Blockstream посредством мелких биткоин-транзакций, содержащих сообщения OP_RETURN, фактически превратив блокчейн в публичную доску объявлений. После серии открытых и зашифрованных обменов группа вернула 3 400 BTC.

Но примерно 598,5 BTC остались. Именно здесь история сошла с рельсов.

10-процентная награда превратилась в ультиматум

Вместо того чтобы просто вернуть остаток, группа потребовала, чтобы Blockstream выплатила 10-процентную премию из собственных средств. Она также предупредила, что отказ от выполнения этого требования может привести к 15-процентным убыткам для держателей Liquid. Называть это обычным раскрытием уязвимостей становилось всё труднее.

«Белые» исследователи, как правило, выявляют уязвимости, сообщают о них и договариваются о вознаграждении по установленным каналам. В данном случае же почти 600 BTC удерживались, в то время как требовали выплаты. Blockstream теперь ясно дала понять, что видит разницу совсем иначе.

«Blockstream не будет платить выкуп за возвращение похищенных средств», — подчеркнула компания 11 сентября в X. «Незаконное завладение активами и удержание их возврата является преступлением, а не ответственным раскрытием информации».

Blockstream заявляет, что держатели биткоинов не будут платить выкуп

Компания также отвергла идею о том, что пользователи Liquid должны покрыть убытки, чтобы удовлетворить требование. «Биткойн — это твердая валюта, и его невозможно добыть без затрат; биткойн не обрезает средства пользователей, чтобы заплатить выкуп», — написала Blockstream.

Эта фраза затрагивает финансовую суть спора. В конечном итоге кто-то должен ответить за почти 600 BTC, которые не были возвращены. Позиция Blockstream заключается в том, что пользователи не должны фактически финансировать выплату тем, кто их похитил. Компания заявила, что её предыдущие переговоры велись добросовестно с целью возврата средств пользователей, а не потому, что она согласилась с условиями хакеров.

Предупреждения о безопасности добавляют новый поворот

Над этим делом висит ещё одно осложнение. Соруководитель Bitcoin Red Team Калле заявил, что его группа предупреждала Blockstream об уязвимости до того, как она была использована, и с иронией заметил, что, судя по всему, «игнорирование письма от Red Team обошлось в 600 BTC».

Бывший директор по безопасности Blockstream Сэмсон Моу опроверг это, заявив, что никакие электронные письма не игнорировались. Противоречивые версии событий до конца не согласованы, и Bitcoin Red Team заявила, что намерена опубликовать собственную версию процесса раскрытия информации после того, как Blockstream выпустит отчет о расследовании инцидента.

Таким образом, Blockstream сейчас вынуждена бороться сразу с двумя проблемами: с тем, что произошло до взлома, и с тем, что должно произойти с биткойнами после него. Помимо потери почти 600 BTC, компании также пришлось столкнуться с репутационными последствиями всего инцидента, который быстро превратился в пиар-катастрофу.

«Пишешь код низкого качества — получаешь серьезные проблемы», — написал один пользователь X в ответ на последнее требование Blockstream. «Биткойн по своей сути не требует разрешений. Не надо теперь плакаться властям, раз вы налажали из-за плохого кода», — добавил этот аккаунт. «Blockstream стреляет себе в ногу, подставляя парня, который отдал им 3 400 BTC», — написал другой пользователь X. Он добавил:

«В следующий раз, когда Liquid опустеет, они оставят себе 100% монет. Хватит быть такими скупыми и возьмите на себя ответственность за свою х***ню».

Blockstream угрожает гораздо более масштабной охотой

Последнее сообщение Blockstream не оставляет места для двусмысленности в отношении второго вопроса.

Если средства не будут возвращены, компания заявляет, что планирует сотрудничать с правоохранительными органами, биржами, поставщиками услуг, судебными экспертами и другими специалистами, чтобы отследить биткоины и установить личности виновных. Компания также указала на одну неудобную особенность для тех, кто пытается скрыть почти 600 BTC: биткоин-транзакции оставляют постоянный публичный след.

Для группы, которая изначально называла себя «белыми хакерами», ситуация далеко ушла от простого сообщения об ошибке. Осталось почти 4 000 BTC. Большая часть вернулась. Сотни биткойнов — нет. И ответ Blockstream на оставшееся требование теперь состоит из четырёх слов:

«Верните биткоины».