”Lämna tillbaka bitcoinen”: Blockstream drar en gräns efter hacket på 4 000 BTC

Nästan 4 000 BTC kvar, men det mesta har återlämnats

Hela episoden inleddes den 6 september med något som redan då lät tillräckligt märkligt: Nästan 4 000 BTC försvann från reserver kopplade till Blockstreams Liquid Network, och de ansvariga meddelade omedelbart på Bitcoin-blockkedjan att de var ”whitehats”. Därefter blev det ännu märkligare.

Gruppen började kommunicera med Blockstream genom små bitcootransaktioner med OP_RETURN-meddelanden, vilket i praktiken förvandlade blockkedjan till en offentlig anslagstavla. Efter en serie offentliga och krypterade utbyten återlämnade gruppen 3 400 BTC.

Men ungefär 598,5 BTC blev kvar. Det var där historien spårade ur.

En belöning på 10 % förvandlas till ett ultimatum

I stället för att helt enkelt återlämna resten krävde gruppen att Blockstream skulle betala en belöning på 10 % med egna medel. De varnade också för att ett avslag på kravet kunde leda till att Liquid-innehavare drabbades av en förlust på 15 %. Det blev allt svårare att kalla detta för en vanlig rapportering av säkerhetsbrister.

White-hat-forskare identifierar i allmänhet säkerhetsbrister, rapporterar dem och förhandlar om ersättning via etablerade kanaler. I det här fallet hölls nästan 600 BTC tillbaka samtidigt som betalning krävdes. Blockstream har nu gjort klart att man ser på saken på ett helt annat sätt.

”Blockstream kommer inte att betala en lösensumma för att få tillbaka stulna medel”, betonade företaget den 11 september på X. ”Att ta tillgångar utan tillstånd och vägra att återlämna dem är ett brott, inte ansvarsfull rapportering.”

Blockstream säger att Bitcoin-innehavare inte kommer att betala räkningen

Företaget avvisade också tanken att Liquid-användare skulle behöva ta på sig förlusterna för att tillmötesgå kravet. ”Bitcoin är hårt pengar och kan inte skapas utan kostnader; Bitcoin tvingar inte användarna att betala en lösensumma”, skrev Blockstream.

Den formuleringen går rakt in i tvistens ekonomiska kärna. Någon måste i slutändan stå för de nästan 600 BTC som inte har återlämnats. Blockstreams ståndpunkt är att användarna inte i praktiken ska finansiera en utbetalning till de personer som tog pengarna. Företaget uppgav att de tidigare förhandlingarna fördes i god tro för att återfå användarnas medel, inte för att man accepterade hackarnas villkor.

Säkerhetsvarningar ger ytterligare en vändning

Det finns ytterligare en komplikation som hänger över affären. Calle, en av ledarna för Bitcoin Red Team, har hävdat att hans grupp varnade Blockstream om sårbarheten innan den utnyttjades, och skämtade om att det tydligen kostade ”600 BTC att ignorera ett e-postmeddelande från red teamet”.

Blockstreams tidigare säkerhetschef Samson Mow tillbakavisade detta och sa att inga e-postmeddelanden ignorerades. De motstridiga redogörelserna har inte helt stämts av, och Bitcoin Red Team har sagt att man avser att publicera sin egen redogörelse för informationsprocessen efter att Blockstream släppt en efteranalys.

Blockstream kämpar alltså nu med två frågor samtidigt: vad som hände före utnyttjandet och vad som bör hända med bitcoinen efteråt. Utöver förlusten av nästan 600 BTC har företaget också tvingats hantera de reputationsmässiga konsekvenserna av hela episoden, som snabbt har förvandlats till en PR-katastrof.

”Skriver man kod av dålig kvalitet får man allvarliga problem”, skrev en X-användare som svar på Blockstreams senaste krav. ”Bitcoin är avsiktligt tillåtet för alla. Gå inte och gnäll hos myndigheterna nu när ni har ställt till det med dålig kod”, tillade kontot. ”Blockstream skjuter sig själva i foten genom att svika killen som gav dem 3 400 BTC”, skrev ett annat X-konto. Personen tillade:

”Nästa gång Liquid töms kommer de att behålla 100 % av mynten. Sluta vara så snåla och ta ansvar för ert jävla misstag.”

Blockstream hotar med en mycket större jakt

Blockstreams senaste meddelande lämnar föga utrymme för tolkning när det gäller den andra frågan.

Om medlen inte återlämnas säger företaget att det planerar att samarbeta med brottsbekämpande myndigheter, börser, tjänsteleverantörer, kriminaltekniska specialister och andra för att spåra bitcoinen och identifiera de ansvariga. Företaget pekade också på en besvärlig egenskap för alla som försöker få nästan 600 BTC att försvinna: Bitcoin-transaktioner lämnar ett permanent offentligt spår.

För en grupp som ursprungligen kallade sig ”white hat” har situationen kommit långt från en felrapport. Nästan 4 000 BTC försvann. De flesta kom tillbaka. Hundratals bitcoin gjorde det inte. Och Blockstreams svar på det återstående kravet består nu av fyra ord:

”Lämna tillbaka bitcoinen.”