Blockstream ei aio maksaa hyökkääjille, jotka veivät varoja sen Liquid-sivuketjusta. Tämä päätös on poikkeus kryptomarkkinoilla, joissa itsensä valkohattuhakkereiksi nimenneet ovat aiemmin saaneet pitää osan saaliistaan.
Liquid on Blockstreamin rakentama verkko, jossa käyttäjät lukitsevat Bitcoinia (BTC) ja saavat vastaavan tokenin, joka liikkuu nopeammin. Hyökkääjät hyödynsivät ohjelmistovirhettä 6. syyskuuta ja saivat haltuunsa noin 4 000 BTC.
Miksi valkohattuhakkerit ovat tottuneet saamaan osuuden
Virhe mahdollisti sen, että hyökkääjät loivat Liquid-tokeneita ilman todellisia Bitcoineja taustalla, ja pystyivät muuttamaan tokenit ulos. Federationin allekirjoitusavaimia ei koskaan varastettu, ja siksi Liquidista varat vienyt transaktio meni läpi normaalisti.
Kun Blockstream korjasi ohjelmiston, hyökkääjät palauttivat 3 400 BTC, jonka jälkeen he vaativat takautuvaa bugipalkkiota. He pitivät 598,5 BTC:tä, mikä vastaa noin 46 miljoonaa dollaria nykyisen Bitcoin-hinnan mukaan.
Vaatimus noudattaa tuttua kaavaa. Vuonna 2022 Nomad-silta menetti 190 miljoonaa dollaria ja tarjosi hakkereille 10 % potista, jos he palauttavat loput. Monet projektit ovat ottaneet käytännön käyttöön tämän jälkeen.
Blockstreamin mielestä valkohattutermi ei ole oikea
Blockstream totesi lausunnossaan, ettei avoimen lähdekoodin kehittäjien kuulu maksaa palkkioita, jotka ylittävät heidän oman panoksensa verkossa moninkertaisesti.
Omaisuuserien ottaminen luvatta ja niiden palauttamisen viivyttäminen on rikos, ei vastuullista ilmoitusta. Se ei ole valkohattutoimintaa. Se on varkaus.
Ledgerin teknologiajohtaja Charles Guillemet asetti kyseenalaiseksi väitteen valkohatusta muutama päivä aiemmin. Hänen mukaansa hyökkääjät, jotka tyhjentävät sillan ja ottavat yhteyttä vasta sen jälkeen, eivät tee turvallisuustutkimusta.
Yritys ei ole yksin. Kraken syytti turvallisuustutkijoita kiristyksestä vuonna 2024 sen jälkeen, kun nämä ottivat kolme miljoonaa dollaria ja vaativat itse asettamaansa summaa palautuksesta.
BeInCrypto raportoi 7. syyskuuta, että osittaisesta palautuksesta huolimatta lähes 600 BTC on edelleen kadoksissa. Tämä puute ei ole täyttynyt, eikä Blockstream ole kertonut julkisesti, kuka ottaa tappion, jos kolikot eivät koskaan palaudu.
Nyt palautuksen mahdollisuus on viranomaisten, pörssien ja lohkoketjuanalyysin varassa, kohdistuen tuntemattomiin tekijöihin. Se, pitääkö Blockstreamin kielto jatkossa, vaikuttaa siihen, mitä seuraava hyökkääjä vaatii.
