«Поверніть біткойни»: Blockstream поставила крапку після хакерської атаки, в результаті якої було викрадено 4 000 BTC

Залишилося майже 4 000 BTC, але більша частина з них повернулася

Уся історія розпочалася 6 вересня з події, яка вже сама по собі здавалася досить дивною: майже 4 000 BTC зникли з резервів, пов’язаних із мережею Liquid від Blockstream, а відповідальні за це особи одразу оголосили в блокчейні біткойна, що вони є «білими хакерами». Потім ситуація стала ще дивнішою.

Група почала спілкуватися з Blockstream за допомогою мініатюрних біткойн-транзакцій із повідомленнями OP_RETURN, фактично перетворивши блокчейн на публічну дошку оголошень. Після серії публічних та зашифрованих обмінів група повернула 3 400 BTC.

Але приблизно 598,5 BTC залишилися. Саме тут історія зійшла з рейок.

10-відсоткова винагорода перетворилася на ультиматум

Замість того, щоб просто повернути решту, група вимагала, щоб Blockstream виплатила 10% винагороди зі своїх власних коштів. Вона також попередила, що відмова від цієї вимоги може призвести до 15% збитків для власників Liquid. Називати це звичайним розкриттям вразливості ставало дедалі складніше.

Дослідники-«білі капелюхи» зазвичай виявляють уразливості, повідомляють про них і домовляються про винагороду через встановлені канали. У цьому випадку майже 600 BTC утримувалися, тоді як вимагали виплати. Тепер Blockstream чітко дала зрозуміти, що бачить цю різницю зовсім інакше.

«Blockstream не платитиме викуп за повернення вкрадених коштів», — наголосила компанія 11 вересня на X. «Заволодіння активами без дозволу та утримання їх повернення є злочином, а не відповідальним розкриттям інформації».

Blockstream заявляє, що власники біткойнів не будуть платити викуп

Компанія також відкинула ідею, що користувачі Liquid повинні покрити збитки, щоб задовольнити вимогу. «Біткойн — це тверда валюта, яку неможливо випустити без витрат; біткойн не змушує користувачів платити викуп», — написала Blockstream.

Ця заява торкається фінансової суті суперечки. Хтось зрештою має відповісти за майже 600 BTC, які не були повернуті. Позиція Blockstream полягає в тому, що користувачі не повинні фактично фінансувати виплату тим, хто їх викрав. Компанія заявила, що її попередні переговори проводилися в дусі доброї волі з метою повернення коштів користувачів, а не тому, що вона погодилася на умови хакерів.

Попередження щодо безпеки додають ще один поворот

Над цією справою нависає ще одна складність. Співкерівник Bitcoin Red Team Калле стверджує, що його група попередила Blockstream про вразливість ще до атаки, жартома зауваживши, що, судячи з усього, «ігнорування електронного листа від Red Team обійшлося в 600 BTC».

Колишній керівник служби безпеки Blockstream Самсон Моу заперечив це, заявивши, що жодних листів не ігнорували. Суперечливі версії подій досі не узгоджені, і Bitcoin Red Team заявила, що має намір опублікувати власний звіт про процес розкриття інформації після того, як Blockstream оприлюднить аналіз інциденту.

Тож зараз Blockstream бореться з двома проблемами одночасно: що сталося до експлойту та що має статися з біткойнами після нього. Окрім втрати майже 600 BTC, компанія також змушена боротися з репутаційними наслідками всього інциденту, який швидко перетворився на катастрофу в сфері зв’язків з громадськістю.

«Пишеш код поганої якості — отримуєш серйозні проблеми», — написав один із користувачів X у відповідь на останню вимогу Blockstream. «Біткойн за своєю суттю не вимагає дозволів. Не біжіть плакатися до властей тепер, коли налажали через поганий код», — додав цей користувач. «Blockstream стріляє собі в ногу, підставляючи того, хто дав їм 3 400 BTC», — написав інший користувач X. Він додав:

«Наступного разу, коли Liquid вичерпається, вони залишать собі 100% монет. Припиніть бути такими скупими і візьміть на себе відповідальність за свою хрінову помилку».

Blockstream погрожує набагато масштабнішим полюванням

Останнє повідомлення Blockstream не залишає сумнівів щодо другого питання.

Якщо кошти не будуть повернуті, компанія заявляє, що планує співпрацювати з правоохоронними органами, біржами, постачальниками послуг, експертами-криміналістами та іншими сторонами, щоб відстежити біткоїни та встановити осіб, відповідальних за це. Компанія також вказала на одну незручну особливість для тих, хто намагається приховати майже 600 BTC: біткоїн-транзакції залишають постійний публічний слід.

Для групи, яка спочатку називала себе «білими хакерами», ситуація далеко відійшла від простого повідомлення про помилку. Залишилося майже 4 000 BTC. Більшість повернулася. Сотні біткойнів — ні. І відповідь Blockstream на решту вимог тепер складається з чотирьох слів:

«Поверніть біткойни».