»Vrnite bitcoine«: Blockstream postavi mejo po hekerskem napadu, v katerem je bilo ukradenih 4.000 BTC

Ostalo je skoraj 4.000 BTC, vendar se je večina vrnila

Celoten dogodek se je začel 6. septembra z nečim, kar je že samo po sebi zvenelo dovolj čudno: iz rezerv, povezanih z omrežjem Liquid podjetja Blockstream, je izginilo skoraj 4.000 BTC, odgovorni pa so takoj na verigi blokov bitcoina objavili, da so »whitehats«. Nato so stvari postale še bolj čudne.

Skupina je začela komunicirati s podjetjem Blockstream prek majhnih bitcoin transakcij, ki so vsebovale sporočila OP_RETURN, s čimer je verigo blokov dejansko spremenila v javno oglasno desko. Po seriji javnih in šifriranih izmenjav je skupina vrnila 3.400 BTC.

Vendar je ostalo še približno 598,5 BTC. Tu se je zgodba popolnoma iztirila.

10-odstotna nagrada se spremeni v ultimat

Namesto da bi preprosto vrnila preostanek, je skupina od Blockstreama zahtevala, naj iz lastnih sredstev izplača 10-odstotno nagrado. Prav tako je opozorila, da bi zavrnitev zahteve imetnikom Liquid lahko prinesla 15-odstotno izgubo. To je bilo vse težje imenovati običajno razkritje ranljivosti.

Raziskovalci »white-hat« običajno odkrijejo varnostne pomanjkljivosti, jih prijavijo in se o nadomestilu pogajajo prek uveljavljenih kanalov. V tem primeru je bilo zadržanih skoraj 600 BTC, medtem ko so zahtevali plačilo. Blockstream je zdaj jasno povedal, da to razliko vidi povsem drugače.

»Blockstream ne bo plačal odkupnine za vrnitev ukradenih sredstev,« je podjetje 11. septembra poudarilo na X. »Neodobreno odvzemanje sredstev in zadrževanje njihove vrnitve je kaznivo dejanje, ne pa odgovorno razkritje.«

Blockstream trdi, da imetniki bitcoina ne bodo plačali računa

Podjetje je zavrnilo tudi idejo, da bi morali uporabniki platforme Liquid prevzeti izgube, da bi zadovoljili zahtevo. „Bitcoin je trdna valuta in ga ni mogoče ustvariti brez stroškov; Bitcoin ne obremenjuje uporabnikov, da bi plačali odkupnino,“ je zapisal Blockstream.

Ta izjava se dotika finančnega jedra spora. Nekdo mora na koncu prevzeti odgovornost za skoraj 600 BTC, ki niso bili vrnjeni. Stališče podjetja Blockstream je, da uporabniki ne bi smeli dejansko financirati izplačila tistim, ki so sredstva ukradli. Podjetje je pojasnilo, da so bila prejšnja pogajanja vodena v dobri veri z namenom izterjave sredstev uporabnikov, ne pa zato, ker bi sprejeli pogoje hekerjev.

Varnostna opozorila dodajajo še en zaplet

Nad zadevo visi še ena zapletena okoliščina. Calle, soupravitelj Bitcoin Red Teama, je trdil, da je njegova skupina Blockstream opozorila na ranljivost še pred izkoriščanjem, pri čemer je pripomnil, da je očitno »ignoriranje e-poštnega sporočila rdeče ekipe stalo 600 BTC«.

Nekdanji glavni varnostni uradnik Blockstreama Samson Mow je to zavrnil in dejal, da noben e-poštni sporočil ni bil prezrt. Nasprotujoče si razlage še niso bile v celoti usklajene, Bitcoin Red Team pa je napovedal, da namerava objaviti lastno razlago postopka razkritja, ko bo Blockstream objavil poročilo o analizi dogodka.

Tako se Blockstream zdaj spopada z dvema vprašanjema hkrati: kaj se je zgodilo pred izkoriščanjem ranljivosti in kaj naj se zgodi z bitcoini po tem. Poleg izgube skoraj 600 BTC se je podjetje moralo spoprijeti tudi z udarcem na ugled zaradi celotnega dogodka, ki se je hitro spremenil v katastrofo na področju odnosov z javnostjo.

»Piši slabo kodo, imej hude težave,« je v odgovoru na najnovejšo zahtevo Blockstreama zapisal eden od uporabnikov X. »Bitcoin je po zasnovi brez dovoljenj. Ne hodi zdaj jokat k oblastem, ker si z zgrešeno kodo naredil zmešnavo,“ je dodal uporabnik. „Blockstream si sam strelja v nogo, ker je v hrbet zabodel človeka, ki jim je dal 3.400 BTC,“ je napisal drug uporabnik X. Ta je dodal:

»Ko se bo naslednjič izpraznil Liquid, bodo obdržali 100 % kovančkov. Nehajte biti tako skopi in prevzemite odgovornost za svojo zmešnavo.«

Blockstream grozi s precej večjim lovom

Najnovejše sporočilo Blockstreama ne pušča veliko prostora za dvom glede drugega vprašanja.

Če sredstva ne bodo vrnjena, podjetje pravi, da namerava sodelovati s policijo, borzami, ponudniki storitev, forenzičnimi strokovnjaki in drugimi, da bi sledilo bitcoinu in identificiralo odgovorne osebe. Podjetje je opozorilo tudi na eno neprijetno lastnost za vsakogar, ki poskuša izginiti s skoraj 600 BTC: bitcoin transakcije puščajo trajno javno sled.

Za skupino, ki se je prvotno imenovala »white hat«, se je situacija močno oddaljila od poročila o napaki. Ostalo je skoraj 4.000 BTC. Večina se je vrnila. Stoje bitcoinov pa ne. Odgovor podjetja Blockstream na preostalo zahtevo pa je zdaj dolg štiri besede:

»Vrnite bitcoine.«