'คืนบิตคอยน์': Blockstream ขีดเส้นตายหลังถูกแฮ็ก 4,000 BTC

เกือบ 4,000 BTC หายไป แต่ส่วนใหญ่กลับมาแล้ว

เหตุการณ์ทั้งหมดเริ่มขึ้นเมื่อวันที่ 6 ก.ย. ด้วยสิ่งที่ฟังดูแปลกอยู่แล้ว: มี BTC เกือบ 4,000 หายไปจากเงินสำรองที่เชื่อมโยงกับเครือข่าย Liquid ของ Blockstream และผู้รับผิดชอบประกาศทันทีบนบล็อกเชน Bitcoin ว่าตนเป็น “ไวท์แฮต” จากนั้นเรื่องก็ยิ่งประหลาดขึ้นไปอีก

กลุ่มดังกล่าวเริ่มสื่อสารกับ Blockstream ผ่านธุรกรรมบิตคอยน์ขนาดเล็กที่บรรจุข้อความ OP_RETURN ซึ่งเท่ากับเปลี่ยน บล็อกเชนให้กลายเป็นกระดานข้อความสาธารณะ หลังการแลกเปลี่ยนข้อความทั้งแบบสาธารณะและแบบเข้ารหัสหลายรอบ กลุ่มได้ส่งคืน 3,400 BTC

แต่ยังมีราว 598.5 BTC ที่ไม่ถูกส่งคืน และตรงนี้เองที่เรื่องราวเริ่มออกนอกลู่นอกทาง

เงินรางวัล 10% กลายเป็นคำขาด

แทนที่จะส่งคืนส่วนที่เหลือ กลุ่มกลับ เรียกร้องให้ Blockstream จ่ายเงินรางวัล 10% โดยใช้เงินของบริษัทเอง อีกทั้งยังเตือนว่าหากปฏิเสธข้อเรียกร้อง ผู้ถือ Liquid อาจต้องเผชิญการขาดทุน 15% การจะเรียกสิ่งนี้ว่าเป็นการเปิดเผยช่องโหว่ตามปกติจึงยิ่งยากขึ้นเรื่อยๆ

โดยทั่วไป นักวิจัยไวท์แฮตจะระบุจุดบกพร่องด้านความปลอดภัย รายงาน และเจรจาค่าตอบแทนผ่านช่องทางที่เป็นที่ยอมรับ แต่ในกรณีนี้มีการกักไว้เกือบ 600 BTC พร้อมกับการเรียกร้องให้จ่ายเงิน Blockstream จึงชี้ชัดแล้วว่ามองความแตกต่างนี้ไม่เหมือนกันเลย

“Blockstream จะไม่จ่ายค่าไถ่เพื่อแลกกับการคืนทรัพย์สินที่ถูกขโมยไป” บริษัทเน้นย้ำเมื่อวันที่ 11 ก.ย. บน X “การนำทรัพย์สินไปโดยไม่ได้รับอนุญาตและกักไว้ไม่ยอมคืน เป็นอาชญากรรม ไม่ใช่การเปิดเผยข้อมูลอย่างรับผิดชอบ”

Blockstream ระบุว่าผู้ถือบิตคอยน์จะไม่จ่ายบิลนี้

บริษัทยังปฏิเสธแนวคิดที่ให้ผู้ใช้ Liquid รับภาระความสูญเสียเพื่อสนองข้อเรียกร้อง “Bitcoin เป็นเงินแข็งและไม่สามารถสร้างขึ้นได้โดยไม่มีต้นทุน Bitcoin ไม่ตัดผมผู้ใช้เพื่อจ่ายค่าไถ่” Blockstream เขียนไว้

ประโยคนี้แตะถึงแก่นด้านการเงินของข้อพิพาท เพราะท้ายที่สุดต้องมีใครสักคนรับผิดชอบต่อ BTC เกือบ 600 ที่ยังไม่ถูกส่งคืน จุดยืนของ Blockstream คือผู้ใช้ไม่ควรถูกบีบให้เป็นผู้จัดหาเงินเพื่อจ่ายให้คนที่นำมันไป บริษัทระบุว่าการเจรจาก่อนหน้านี้ทำด้วยความสุจริตใจเพื่อกู้คืนเงินของผู้ใช้ ไม่ใช่เพราะยอมรับเงื่อนไขของแฮกเกอร์

คำเตือนด้านความปลอดภัยเพิ่มอีกหนึ่งหักมุม

ยังมีความซับซ้อนอีกประการที่แขวนคาอยู่เหนือเหตุการณ์นี้ โดย Calle ซึ่งเป็นผู้นำร่วมของ Bitcoin Red Team อ้างว่ากลุ่มของเขาได้เตือน Blockstream เกี่ยวกับช่องโหว่ก่อนการโจมตี พร้อมเหน็บว่าเหมือนจะต้อง “เสีย 600 BTC ถึงจะยอมไม่สนใจอีเมลจากเรดทีม”

Samson Mow อดีตประธานเจ้าหน้าที่ความปลอดภัยของ Blockstream โต้กลับ โดยบอกว่าไม่มีอีเมลใดถูกเพิกเฉย เรื่องเล่าที่ขัดแย้งกันยังไม่ถูกปรับให้สอดคล้องอย่างสมบูรณ์ และ Bitcoin Red Team กล่าวว่า ตั้งใจจะเผยแพร่บันทึกของตนเองเกี่ยวกับกระบวนการเปิดเผยข้อมูล หลังจาก Blockstream เผยแพร่รายงานชันสูตรเหตุการณ์ (postmortem)

ดังนั้น Blockstream กำลังสู้กับสองประเด็นพร้อมกัน: อะไรเกิดขึ้นก่อนการโจมตี และควรทำอย่างไรกับบิตคอยน์หลังจากนั้น นอกเหนือจากการสูญเสียเกือบ 600 BTC แล้ว บริษัทยังต้องรับมือกับผลกระทบต่อชื่อเสียงจากเหตุการณ์ทั้งหมด ซึ่งได้กลายเป็นหายนะด้านประชาสัมพันธ์อย่างรวดเร็ว

“เขียนโค้ดคุณภาพแย่ ก็เจอปัญหาแย่ๆ” ผู้ใช้ X รายหนึ่ง เขียนตอบกลับข้อเรียกร้องล่าสุดของ Blockstream “Bitcoin ถูกออกแบบมาให้ไม่ต้องขออนุญาต อย่ามาร้องไห้หาเจ้าหน้าที่ตอนนี้ที่คุณพลาดเพราะโค้ดแย่” บัญชีนั้นเสริม “Blockstream กำลังยิงเท้าตัวเองด้วยการหักหลังคนที่คืนให้พวกเขา 3,400 BTC” อีกบัญชีหนึ่งบน X เขียน บุคคลดังกล่าวเสริมว่า:

“ครั้งหน้า Liquid โดนดูดอีก พวกเขาจะเก็บเหรียญไว้ 100% เลิกงกได้แล้วและรับผิดชอบความพลาดของตัวเองสักที”

Blockstream ขู่จะเปิดการไล่ล่าครั้งใหญ่กว่านี้มาก

ข้อความล่าสุดของ Blockstream แทบไม่ทิ้งความคลุมเครือเกี่ยวกับคำถามข้อที่สอง

หากไม่ส่งคืนเงิน บริษัทระบุว่าจะทำงานร่วมกับหน่วยงานบังคับใช้กฎหมาย เว็บเทรด ผู้ให้บริการ ผู้เชี่ยวชาญนิติวิทยาศาสตร์ และฝ่ายอื่นๆ เพื่อไล่ตามรอยบิตคอยน์และระบุตัวผู้รับผิดชอบ บริษัทยังชี้ด้วยว่ามีคุณลักษณะหนึ่งที่ไม่สะดวกสำหรับผู้ที่พยายามทำให้เกือบ 600 BTC “หายไป”: ธุรกรรมบิตคอยน์ทิ้งร่องรอยสาธารณะถาวร

สำหรับกลุ่มที่เดิมเรียกตัวเองว่าไวท์แฮต สถานการณ์ได้เดินทางไกลจากการรายงานบั๊ก เกือบ 4,000 BTC หายไป ส่วนใหญ่ถูกส่งคืน เหลือบิตคอยน์อีกหลายร้อยที่ยังไม่กลับมา และคำตอบของ Blockstream ต่อข้อเรียกร้องที่เหลือ ตอนนี้ยาวเพียงสี่คำ:

“คืนบิตคอยน์มา”