'Trả lại Bitcoin': Blockstream vạch ra ranh giới sau vụ hack 4.000 BTC

Còn lại gần 4.000 BTC, nhưng phần lớn đã được trả lại

Toàn bộ sự việc bắt đầu vào ngày 6 tháng 9 với một điều nghe có vẻ khá kỳ lạ: Gần 4.000 BTC đã biến mất khỏi các khoản dự trữ liên kết với Mạng Liquid của Blockstream, và những người chịu trách nhiệm đã ngay lập tức thông báo trên blockchain Bitcoin rằng họ là những “hacker mũ trắng”. Sau đó, mọi chuyện trở nên kỳ lạ hơn nữa.

Nhóm này bắt đầu liên lạc với Blockstream thông qua các giao dịch bitcoin nhỏ chứa thông điệp OP_RETURN, thực tế biến blockchain thành một bảng tin công khai. Sau một loạt trao đổi công khai và được mã hóa, nhóm này đã trả lại 3.400 BTC.

Tuy nhiên, khoảng 598,5 BTC vẫn còn lại. Đó là lúc câu chuyện bắt đầu đi chệch hướng.

Tiền thưởng 10% biến thành tối hậu thư

Thay vì đơn giản là trả lại số còn lại, nhóm này yêu cầu Blockstream phải trả khoản tiền thưởng 10% bằng chính tiền của mình. Họ cũng cảnh báo rằng việc từ chối yêu cầu này có thể khiến các chủ sở hữu Liquid phải đối mặt với khoản lỗ 15%. Việc gọi đây là một vụ tiết lộ lỗ hổng bảo mật thông thường ngày càng trở nên khó khăn.

Các nhà nghiên cứu mũ trắng thường xác định lỗ hổng bảo mật, báo cáo chúng và đàm phán mức bồi thường thông qua các kênh đã được thiết lập. Trong trường hợp này, gần 600 BTC bị giữ lại trong khi yêu cầu thanh toán vẫn được đưa ra. Blockstream hiện đã làm rõ rằng họ nhìn nhận sự khác biệt này theo cách hoàn toàn khác.

“Blockstream sẽ không trả tiền chuộc để lấy lại số tiền bị đánh cắp,” công ty nhấn mạnh vào ngày 11 tháng 9 trên X. “Lấy tài sản mà không được phép và giữ lại không trả lại là một tội phạm, không phải là việc tiết lộ có trách nhiệm.”

Blockstream khẳng định người nắm giữ Bitcoin sẽ không phải chi trả

Công ty cũng bác bỏ ý kiến cho rằng người dùng Liquid phải gánh chịu tổn thất để đáp ứng yêu cầu. “Bitcoin là tiền tệ cứng và không thể được tạo ra mà không tốn chi phí; Bitcoin không cắt giảm tài sản của người dùng để trả tiền chuộc,” Blockstream viết.

Lời khẳng định này đi thẳng vào cốt lõi tài chính của tranh chấp. Cuối cùng thì ai đó phải chịu trách nhiệm về số tiền gần 600 BTC chưa được trả lại. Quan điểm của Blockstream là người dùng không nên thực tế tài trợ cho việc chi trả tiền chuộc cho những kẻ đã chiếm đoạt số tiền đó. Công ty cho biết các cuộc đàm phán trước đó của họ được tiến hành với thiện chí nhằm thu hồi tiền của người dùng, chứ không phải vì họ chấp nhận các điều kiện của hacker.

Các cảnh báo bảo mật thêm một tình tiết mới

Còn một vấn đề phức tạp khác đang bao trùm vụ việc. Calle, đồng trưởng nhóm Bitcoin Red Team, tuyên bố nhóm của ông đã cảnh báo Blockstream về lỗ hổng bảo mật trước khi vụ tấn công xảy ra, và mỉa mai rằng rõ ràng việc “bỏ qua email từ đội đỏ” đã khiến họ phải trả giá bằng “600 BTC.”

Cựu Giám đốc An ninh của Blockstream, Samson Mow, đã phản bác, khẳng định không có email nào bị phớt lờ. Các phiên bản sự kiện mâu thuẫn này vẫn chưa được làm rõ hoàn toàn, và Bitcoin Red Team cho biết họ dự định công bố bản tường trình riêng về quá trình tiết lộ sau khi Blockstream phát hành báo cáo phân tích sự cố.

Vì vậy, Blockstream hiện đang phải đối mặt với hai vấn đề cùng lúc: những gì đã xảy ra trước khi vụ tấn công diễn ra và những gì nên xảy ra với số Bitcoin đó sau đó. Ngoài việc mất gần 600 BTC, công ty còn phải đối mặt với hậu quả về danh tiếng từ toàn bộ sự việc, điều này đã nhanh chóng biến thành một thảm họa truyền thông.

"Viết mã nguồn kém chất lượng thì sẽ gặp rắc rối," một người dùng X viết trong bình luận đáp lại yêu cầu mới nhất của Blockstream. "Bitcoin được thiết kế để không cần sự cho phép. Đừng có đi khóc lóc với các cơ quan chức năng bây giờ khi các bạn đã gây ra rắc rối vì mã nguồn kém chất lượng," tài khoản này bổ sung. "Blockstream đang tự bắn vào chân mình khi phản bội người đã tặng họ 3.400 BTC," một tài khoản X khác viết. Người này thêm:

"Lần tới khi Liquid bị rút cạn, họ sẽ giữ lại 100% số coin. Đừng keo kiệt nữa và hãy chịu trách nhiệm cho sai lầm của mình đi."

Blockstream đe dọa sẽ tiến hành một cuộc săn lùng quy mô lớn hơn nhiều

Thông điệp mới nhất của Blockstream không để lại nhiều sự mơ hồ về câu hỏi thứ hai.

Nếu số tiền không được trả lại, công ty cho biết họ dự định hợp tác với cơ quan thực thi pháp luật, các sàn giao dịch, nhà cung cấp dịch vụ, chuyên gia pháp y và các bên liên quan khác để truy vết Bitcoin và xác định những người chịu trách nhiệm. Công ty cũng chỉ ra một điểm bất lợi cho bất kỳ ai cố gắng làm biến mất gần 600 BTC: Các giao dịch Bitcoin để lại dấu vết công khai vĩnh viễn.

Đối với một nhóm ban đầu tự xưng là “white hat”, tình hình đã đi xa khỏi một báo cáo lỗi. Gần 4.000 BTC đã biến mất. Hầu hết đã được trả lại. Hàng trăm Bitcoin vẫn chưa. Và câu trả lời của Blockstream cho yêu cầu còn lại giờ đây chỉ gói gọn trong bốn từ:

“Trả lại Bitcoin.”