'Ibalik ang Bitcoin': Gumuhit ng Linya ang Blockstream Matapos ang 4,000 BTC na Pag-hack

Halos 4,000 BTC ang Naalis, Pero Karamihan ay Naibalik

Ang buong pangyayari ay nagsimula noong Setyembre 6 sa isang bagay na sapat nang kakaiba: Halos 4,000 BTC ang nawala mula sa mga reserbang konektado sa Liquid Network ng Blockstream, at agad na inanunsyo ng mga responsable sa Bitcoin blockchain na sila ay mga “whitehats.” Pagkatapos, lalo pang naging kakaiba ang mga pangyayari.

Nagsimulang makipag-ugnayan ang grupo sa Blockstream sa pamamagitan ng maliliit na transaksyon ng bitcoin na may dalang OP_RETURN na mga mensahe, na epektibong ginawang pampublikong message board ang blockchain. Matapos ang sunod-sunod na pampubliko at naka-encrypt na palitan, ibinalik ng grupo ang 3,400 BTC.

Ngunit nanatili ang humigit-kumulang 598.5 BTC. Doon na tuluyang naging magulo ang kuwento.

Ang 10% na Bounty ay Naging Isang Ultimatum

Sa halip na ibalik na lang ang natitira, hiniling ng grupo na magbayad ang Blockstream ng 10% na bounty gamit ang sarili nitong pera. Nagbabala rin ito na ang pagtanggi sa hinihingi ay maaaring mag-iwan sa mga may hawak ng Liquid na humaharap sa 15% na pagkalugi. Lalong naging mahirap tawaging ordinaryong pag-uulat ng kahinaan (vulnerability disclosure) ang ganito.

Karaniwang tinutukoy ng mga white-hat na mananaliksik ang mga depekto sa seguridad, inuulat ang mga ito, at nakikipag-usap tungkol sa kompensasyon sa pamamagitan ng mga itinatag na channel. Dito, halos 600 BTC ang ipinagkakait habang humihingi ng bayad. Nilinaw na ngayon ng Blockstream na ibang-iba ang tingin nito sa pagkakaibang iyon.

“Hindi magbabayad ang Blockstream ng ransom para maibalik ang ninakaw na pondo,” diin ng kumpanya noong Setyembre 11 sa X. “Ang pagkuha ng mga asset nang walang pahintulot at ang pag-ipit sa pagbabalik ng mga ito ay isang krimen, hindi responsableng pag-uulat.”

Sinabi ng Blockstream na Hindi Magbabayad ang mga May Hawak ng Bitcoin

Tinanggihan din ng kumpanya ang ideya na ang mga gumagamit ng Liquid ang sasalo sa pagkalugi para mapagbigyan ang hinihingi. “Ang Bitcoin ay hard money at hindi maaaring i-mint nang walang gastos, hindi ginugupit (haircut) ng Bitcoin ang mga user para magbayad ng ransom,” sulat ng Blockstream.

Tinutukoy ng linyang iyon ang pinansyal na sentro ng alitan. May isang tao na sa huli ay kailangang magtala para sa halos 600 BTC na hindi naibalik. Paninindigan ng Blockstream na hindi dapat ang mga user ang epektibong magpopondo sa pagbabayad sa mga taong kumuha nito. Sinabi ng kumpanya na ang mas maaga nitong mga negosasyon ay isinagawa nang may mabuting hangarin para mabawi ang pondo ng mga user, hindi dahil tinanggap nito ang mga kundisyon ng mga hacker.

Ang mga Babala sa Seguridad ay Nagdagdag pa ng Isa pang Baligtad

May isa pang komplikasyon na nakabitin sa pangyayari. Ang co-lead ng Bitcoin Red Team na si Calle ay nagsabing nagbabala ang kanyang grupo sa Blockstream tungkol sa kahinaan bago ang pagsasamantala (exploit), at nagbiro na tila “600 BTC ang naging halaga ng pagwawalang-bahala sa isang email mula sa red team.”

Tumugon ang dating Chief Security Officer ng Blockstream na si Samson Mow, na sinasabing walang mga email na binalewala. Hindi pa ganap na napagkakasundo ang magkaibang salaysay, at sinabi ng Bitcoin Red Team na balak nitong ilathala ang sarili nitong bersyon ng proseso ng disclosure matapos maglabas ang Blockstream ng postmortem.

Kaya ngayon ay dalawang argumento ang nilalabanan ng Blockstream nang sabay: kung ano ang nangyari bago ang exploit at kung ano ang dapat mangyari sa bitcoin pagkatapos nito. Bukod sa pagkawala ng halos 600 BTC, napilitan din ang kumpanya na harapin ang pinsala sa reputasyon mula sa buong pangyayari, na mabilis na naging isang sakuna sa public relations.

“Sumulat ng mababang-kalidad na code, magkaroon ng masamang problema,” isang user sa X ang sumulat bilang tugon sa pinakabagong hinihingi ng Blockstream. “Permissionless ang Bitcoin ayon sa disenyo. Huwag ka nang umiyak sa mga awtoridad ngayon na nagkamali ka dahil sa pangit na code,” dagdag ng account. “Binabaril ng Blockstream ang sarili nito sa paa sa pagsaksak sa likod ng taong nagbigay sa kanila ng 3,400 BTC,” sumulat ang isa pang account sa X. Dagdag pa ng indibidwal:

“Sa susunod na ma-drain ang Liquid, itatago nila ang 100% ng mga coin. Tigilan ang pagiging sobrang kuripot at akuin ang responsibilidad sa f***up ninyo.”

Nagbanta ang Blockstream ng Mas Malaking Paghabol

Ang pinakabagong mensahe ng Blockstream ay halos walang iniwang kalabuan tungkol sa ikalawang tanong.

Kung hindi ibabalik ang mga pondo, sinabi ng kumpanya na plano nitong makipagtulungan sa mga tagapagpatupad ng batas, mga palitan, mga service provider, mga espesyalista sa forensics at iba pa para subaybayan ang bitcoin at tukuyin ang mga responsable. Itinuro rin ng kumpanya ang isang hindi kanais-nais na katangian para sa sinumang susubok na ipawala ang halos 600 BTC: Ang mga transaksyon sa Bitcoin ay nag-iiwan ng permanenteng pampublikong bakas.

Para sa isang grupong orihinal na tumawag sa sarili nitong white hat, malayo na ang narating ng sitwasyon mula sa isang bug report. Halos 4,000 BTC ang naalis. Karamihan ay naibalik. Daang-daang bitcoin ang hindi. At ang sagot ng Blockstream sa natitirang hinihingi ay ngayon ay apat na salita na lang:

“Ibalik ang bitcoin.”