Blockstream se ha negado a pagar un rescate por aproximadamente 598,5 BTC que permanecen bajo el control de los actores detrás del exploit de Liquid Network después de que 3.400 BTC fueran devueltos a principios de esta semana.
Resumen
- Blockstream se ha negado a pagar un rescate por los Bitcoin que aún están en poder de los actores detrás del exploit de Liquid Network.
- Los actores devolvieron previamente 3.400 BTC después de que casi 4.000 BTC fueran retirados de la billetera de la federación de Liquid.
- Blockstream rechazó la posición de sombrero blanco de los actores y dijo que tomar fondos sin autorización y retener su devolución equivale a robo.
- La compañía dijo que trabajará con las fuerzas del orden, exchanges, especialistas forenses y proveedores de servicios para rastrear y recuperar los Bitcoin restantes.
Blockstream dijo en una publicación en X el 11 de septiembre que tomar activos sin autorización y retener su devolución equivale a robo, rechazando la descripción de los actores de sus acciones como divulgación responsable o actividad de sombrero blanco.
“No pagaremos un rescate por la devolución de fondos robados”, dijo la compañía. “Tomar activos sin autorización y retener su devolución es un delito, no una divulgación responsable. No es actividad de sombrero blanco. Es robo”.
La declaración sigue a varios días de comunicación entre Blockstream y los actores no identificados después de que casi 4.000 BTC fueran retirados de la billetera de la federación de Liquid el 6 de septiembre.
Blockstream rechaza el rescate por los Bitcoin restantes
Blockstream dijo que había colaborado con los actores de buena fe para recuperar fondos pertenecientes a los usuarios y proteger a la comunidad de Bitcoin, pero dijo que las conversaciones no equivalían a aceptar ni el retiro ni los términos exigidos posteriormente.
La compañía argumentó que los desarrolladores de software de Bitcoin de código abierto no deberían verse obligados a pagar un rescate que exceda su participación económica en un proyecto después de que alguien explote el código.
“Bitcoin es dinero duro y no se puede acuñar sin costos, Bitcoin no recorta a los usuarios para pagar un rescate”, dijo Blockstream.
La disputa se centra en aproximadamente 598,5 BTC que permanecen pendientes tras la devolución de 3.400 BTC a la billetera de la federación de Liquid el 7 de septiembre. El reembolso recuperó aproximadamente el 85% de los Bitcoin retirados durante el incidente.
Los Bitcoin restantes valían cerca de $47 millones cuando se completó el reembolso mayor. Ningún acuerdo divulgado públicamente había autorizado a los actores a retener las monedas como recompensa.
Los actores se habían descrito inicialmente como “sombreros blancos” y se comunicaron con Blockstream a través de mensajes incrustados en transacciones de Bitcoin. Antes de devolver los 3.400 BTC, le dijeron a la compañía que corrigiera la vulnerabilidad y asegurara que cada nodo afectado hubiera sido parcheado.
Blockstream confirmó posteriormente mediante un mensaje firmado que sus nodos puente habían sido parcheados y que los fondos eran seguros para devolver.
Como crypto.news informó anteriormente, los actores habían ofrecido devolver la mayor parte de los Bitcoin retirados después de que se corrigiera la vulnerabilidad, sin comprometerse a devolver la cantidad total.
Los mensajes posteriores en la cadena cambiaron los términos de la disputa. Los actores exigieron que Blockstream pagara una recompensa del 10% usando su propio dinero o dejara a los tenedores de Liquid enfrentando una pérdida, según mensajes publicados mientras continuaban las negociaciones.
Blockstream ahora ha rechazado cualquier pago vinculado a la devolución de las monedas restantes.
El exploit de Liquid dejó casi 600 BTC pendientes
El incidente del 6 de septiembre involucró una vulnerabilidad que afectó a Liquid, la cadena lateral de Bitcoin desarrollada por Blockstream. Casi 4,000 BTC salieron de la billetera de la federación, lo que representa la mayor parte del Bitcoin que se mantenía en la reserva en ese momento.
Un examen posterior del exploit de Liquid Network encontró que el incidente se derivó de una colisión de clave de caché en la lógica de verificación de transacciones confidenciales. Blockstream dijo que las claves de la federación no fueron comprometidas.
Los actores utilizaron el fallo para obtener Bitcoin de la reserva de la federación antes de comenzar un intercambio en cadena con Blockstream. Liquid detuvo la producción de bloques durante el incidente, mientras que se pidió a los exchanges que suspendieran los depósitos y retiros de L-BTC.
Después de que Blockstream parcheó los nodos de puente afectados, los actores transfirieron 3,400 BTC de vuelta a la dirección de la federación. Aproximadamente 598.5 BTC permanecieron en una dirección controlada por los actores.
La última declaración de Blockstream traza una línea entre su esfuerzo anterior por negociar la devolución y cualquier acuerdo para recompensar a los responsables.
La compañía dijo que pagar la demanda establecería un precedente en el que los desarrolladores de código abierto podrían verse obligados a financiar grandes pagos después de retiros no autorizados de sistemas que utilizan su software.
Blockstream dijo a la comunidad de Bitcoin que continuaba trabajando para los usuarios cuyos fondos fueron tomados y agradeció a los ingenieros, criptógrafos e investigadores de seguridad que habían ayudado a identificar y parchear vulnerabilidades en software relacionado con Bitcoin.
La compañía vinculó parte de la presión de seguridad que enfrentan los proyectos de código abierto a los avances en inteligencia artificial, diciendo que los equipos en todo el ecosistema de Bitcoin han estado dedicando tiempo a encontrar y corregir debilidades en los productos y sistemas de los demás.
Los problemas de seguridad relacionados con el software de Bitcoin han surgido en otros lugares en los últimos meses. En agosto, los partidarios de BTCPay Server respaldaron una recompensa de recuperación equivalente al 10% de los fondos recuperados después de que un exploit expusiera las credenciales de macaroon de administrador de LND. Esa recompensa tenía un límite de 3 BTC si se recuperaban todos los activos robados.
El acuerdo siguió a un exploit activo que llevó a BTCPay Server a decir a los operadores que instalaran la versión 2.4.2 o apagaran los servidores afectados hasta que pudieran actualizarse.
Blockstream planea perseguir los fondos restantes
Con las negociaciones fallando en producir una devolución completa, Blockstream dijo que las personas que controlan el Bitcoin restante todavía tienen la oportunidad de enviarlo de vuelta y regresar a lo que la compañía llamó principios estándar de sombrero blanco.
Si los fondos permanecen pendientes, la compañía dijo que planea trabajar con agencias de aplicación de la ley, exchanges, proveedores de servicios, especialistas forenses y otras partes para rastrear el Bitcoin e identificar a los responsables.
Las transacciones de Bitcoin dejan un registro público en cadena, dando a los investigadores una visión continua de los movimientos desde direcciones asociadas con el incidente incluso si las monedas se dividen posteriormente entre múltiples billeteras.
Un proceso de rastreo similar se ha utilizado tras otros grandes robos de Bitcoin. Galaxy Research, por ejemplo, encontró en agosto que 1,561 BTC permanecieron sin moverse después de que los investigadores atribuyeran 1,789.28 BTC en pérdidas al exploit de Coldcard. Las direcciones de atacantes identificadas se compartieron con exchanges, empresas de cumplimiento y aplicación de la ley.
Blockstream dijo que la transparencia de Bitcoin permitiría a la comunidad y a los investigadores continuar siguiendo la evidencia dejada por transacciones que involucran los fondos de Liquid.
“Las transacciones no desaparecen, y tampoco la evidencia que dejan atrás”, dijo la compañía.
La compañía mantuvo que no pagaría por la devolución de propiedad robada ni dejaría de perseguir el Bitcoin pendiente.
“Devuelvan el bitcoin”, dijo Blockstream.
