Blockstream odmawia 10-procentowej nagrody, której oczekują hakerzy działający w dobrej wierze

Blockstream nie zapłaci osobom, które zaatakowały jego sidechain Liquid i wyprowadziły z niego środki. Ta odmowa zrywa z praktyką w świecie kryptowalut, w której samozwańczy etyczni hakerzy mogą zatrzymać część tego, co zabrali.

Liquid to zbudowana przez Blockstream sieć, w której użytkownicy blokują bitcoiny (BTC) i otrzymują w zamian odpowiadający im token, który można przesyłać szybciej. 6 września atakujący wykorzystali lukę w oprogramowaniu i przejęli około 4 000 BTC.

Dlaczego etyczni hakerzy nauczyli się oczekiwać udziału w łupie

Luka pozwoliła atakującym tworzyć tokeny Liquid, których nie zabezpieczały żadne prawdziwe bitcoiny, a następnie wymieniać je na inne aktywa. Klucze podpisujące federacji nie zostały skradzione — dlatego transakcja, która opróżniła Liquid, przeszła normalnie.

Po tym, jak Blockstream załatał oprogramowanie, atakujący zwrócili 3 400 BTC i poprosili o przyznanie im nagrody za wykrycie błędu z mocą wsteczną. Zatrzymali 598,5 BTC, warte około 46 milionów dolarów przy obecnych cenach bitcoina.

Takie żądanie wpisuje się w pewien schemat. Nomad, most, z którego w 2022 roku zniknęło 190 milionów dolarów, publicznie zaoferował hakerom 10% łupu w zamian za zwrot reszty. Od tamtej pory kolejne projekty powielały to rozwiązanie.

Blockstream twierdzi, że określenie „etyczny haker” tu nie pasuje

W swoim oświadczeniu Blockstream stwierdził, że twórcy oprogramowania open source nie powinni finansować wypłat wielokrotnie przewyższających wartość ich własnego udziału w sieci.

Przejmowanie aktywów bez upoważnienia i odmawianie ich zwrotu to przestępstwo, a nie odpowiedzialne ujawnianie luk. To nie jest działalność etycznego hakera. To kradzież.

Dyrektor ds. technologii w Ledgerze, Charles Guillemet, zakwestionował deklarację o działaniu w dobrej wierze kilka dni wcześniej. Argumentował, że napastnicy, którzy opróżniają most, a potem zapraszają do kontaktu, nie prowadzą badań nad bezpieczeństwem.

Firma nie jest jedyną, która odmawia. W 2024 roku Kraken oskarżył badaczy bezpieczeństwa o wymuszenie po tym, jak przejęli 3 miliony dolarów i sami wyznaczyli cenę za ich zwrot.

Jak donosił BeInCrypto 7 września, po częściowym zwrocie nadal brakowało prawie 600 BTC. Ta luka wciąż istnieje, a Blockstream nie poinformował publicznie, kto ją pokryje, jeśli monety nigdy nie wrócą.

Odzyskanie środków zależy teraz od organów ścigania, giełd i analizy łańcucha bloków, które mają doprowadzić do sprawców, których tożsamości nie ustalono. To, czy odmowa się utrzyma, wpłynie na to, czego zażąda następny napastnik.

Źródło: BeInCrypto