A Blockstream se recusou a pagar um resgate por aproximadamente 598,5 BTC que permanecem sob o controle dos atores por trás do exploit da Liquid Network, depois que 3.400 BTC foram devolvidos no início desta semana.
Resumo
- A Blockstream se recusou a pagar um resgate pelo Bitcoin ainda mantido pelos atores por trás do exploit da Liquid Network.
- Os atores devolveram anteriormente 3.400 BTC depois que quase 4.000 BTC foram sacados da carteira da federação da Liquid.
- A Blockstream rejeitou a posição de white hat dos atores e disse que tomar fundos sem autorização e retê-los para não devolvê-los equivale a roubo.
- A empresa disse que trabalhará com as autoridades policiais, exchanges, especialistas forenses e prestadores de serviços para rastrear e recuperar o Bitcoin restante.
A Blockstream disse em uma postagem no X em 11 de setembro que tomar ativos sem autorização e retê-los para não devolvê-los equivale a roubo, rejeitando a descrição dos atores de suas ações como divulgação responsável ou atividade white-hat.
“Não pagaremos um resgate pela devolução dos fundos roubados”, disse a empresa. “Tomar ativos sem autorização e retê-los para não devolvê-los é um crime, não divulgação responsável. Não é atividade white-hat. É roubo.”
A declaração segue vários dias de comunicação entre a Blockstream e os atores não identificados depois que quase 4.000 BTC foram sacados da carteira da federação da Liquid em 6 de setembro.
Blockstream rejeita resgate pelo Bitcoin restante
A Blockstream disse que havia se envolvido com os atores de boa-fé para recuperar fundos pertencentes aos usuários e proteger a comunidade Bitcoin, mas disse que as conversas não equivaliam à aceitação da retirada ou dos termos posteriormente exigidos.
A empresa argumentou que os desenvolvedores de software Bitcoin de código aberto não deveriam ser forçados a pagar um resgate que excede sua participação econômica em um projeto depois que alguém explora o código.
“Bitcoin é dinheiro forte e não pode ser cunhado sem custos, o Bitcoin não corta os usuários para pagar um resgate”, disse a Blockstream.
A disputa gira em torno de aproximadamente 598,5 BTC que permanecem pendentes após a devolução de 3.400 BTC para a carteira da federação da Liquid em 7 de setembro. O reembolso recuperou aproximadamente 85% do Bitcoin sacado durante o incidente.
O Bitcoin restante valia perto de US$ 47 milhões quando o reembolso maior foi concluído. Nenhum acordo divulgado publicamente havia autorizado os atores a reter as moedas como recompensa.
Os atores inicialmente se descreveram como “whitehats” e se comunicaram com a Blockstream por meio de mensagens incorporadas em transações Bitcoin. Antes de devolver os 3.400 BTC, eles disseram à empresa para corrigir a vulnerabilidade e garantir que todos os nós afetados tivessem sido corrigidos.
A Blockstream posteriormente confirmou por meio de uma mensagem assinada que seus nós de ponte haviam sido corrigidos e que os fundos estavam seguros para devolução.
Como o crypto.news relatou anteriormente, os atores haviam oferecido devolver a maior parte do Bitcoin sacado depois que a vulnerabilidade foi corrigida, sem se comprometer a devolver o valor total.
Mensagens subsequentes na blockchain mudaram os termos da disputa. Os atores exigiram que a Blockstream pagasse uma recompensa de 10% usando seu próprio dinheiro ou deixasse os detentores da Liquid enfrentando uma perda, de acordo com mensagens publicadas enquanto as negociações continuavam.
A Blockstream agora rejeitou qualquer pagamento vinculado à devolução das moedas restantes.
Exploit da Liquid deixou quase 600 BTC pendentes
O incidente de 6 de setembro envolveu uma vulnerabilidade que afetou a Liquid, a sidechain de Bitcoin desenvolvida pela Blockstream. Quase 4.000 BTC saíram da carteira da federação, representando a maior parte do Bitcoin mantido na reserva na época.
Um exame posterior do exploit da Liquid Network descobriu que o incidente decorreu de uma colisão de chave de cache na lógica de verificação de transações confidenciais. A Blockstream afirmou que as chaves da federação não foram comprometidas.
Os atores usaram a falha para obter Bitcoin da reserva da federação antes de iniciar uma troca on-chain com a Blockstream. A Liquid interrompeu a produção de blocos durante o incidente, enquanto as exchanges foram solicitadas a suspender depósitos e saques de L-BTC.
Depois que a Blockstream corrigiu os nós de ponte afetados, os atores transferiram 3.400 BTC de volta para o endereço da federação. Aproximadamente 598,5 BTC permaneceram em um endereço controlado pelos atores.
A declaração mais recente da Blockstream traça uma linha entre seu esforço anterior de negociar a devolução e qualquer acordo para recompensar as pessoas responsáveis.
A empresa disse que pagar a exigência estabeleceria um precedente no qual desenvolvedores de código aberto poderiam ser forçados a financiar grandes pagamentos após saques não autorizados de sistemas que usam seu software.
A Blockstream disse à comunidade Bitcoin que continuava trabalhando para usuários cujos fundos foram tomados e agradeceu a engenheiros, criptógrafos e pesquisadores de segurança que ajudaram a identificar e corrigir vulnerabilidades em softwares relacionados ao Bitcoin.
A empresa vinculou parte da pressão de segurança enfrentada por projetos de código aberto aos avanços da inteligência artificial, dizendo que equipes de todo o ecossistema Bitcoin têm dedicado tempo para encontrar e corrigir fraquezas nos produtos e sistemas umas das outras.
Problemas de segurança envolvendo software Bitcoin surgiram em outros lugares nos últimos meses. Em agosto, apoiadores do BTCPay Server apoiaram uma recompensa de recuperação equivalente a 10% dos fundos recuperados após um exploit expor credenciais de macaroon de administrador do LND. Essa recompensa foi limitada a 3 BTC se todos os ativos roubados fossem recuperados.
O acordo seguiu um exploit ativo que levou o BTCPay Server a instruir os operadores a instalar a versão 2.4.2 ou desligar os servidores afetados até que pudessem atualizar.
Blockstream planeja buscar os fundos restantes
Com as negociações falhando em produzir uma devolução completa, a Blockstream disse que as pessoas que controlam o Bitcoin restante ainda têm a oportunidade de devolvê-lo e retornar ao que a empresa chamou de princípios padrão de chapéu branco.
Se os fundos permanecerem pendentes, a empresa disse que planeja trabalhar com agências de aplicação da lei, exchanges, provedores de serviços, especialistas forenses e outras partes para rastrear o Bitcoin e identificar os responsáveis.
As transações de Bitcoin deixam um registro público on-chain, dando aos investigadores uma visão contínua dos movimentos de endereços associados ao incidente, mesmo que as moedas sejam posteriormente divididas entre várias carteiras.
Um processo de rastreamento semelhante foi usado após outros grandes roubos de Bitcoin. A Galaxy Research, por exemplo, descobriu em agosto que 1.561 BTC permaneceram imóveis depois que os pesquisadores atribuíram 1.789,28 BTC em perdas ao exploit do Coldcard. Endereços de atacantes identificados foram compartilhados com exchanges, empresas de conformidade e aplicação da lei.
A Blockstream disse que a transparência do Bitcoin permitiria à comunidade e aos investigadores continuar seguindo as evidências deixadas por transações envolvendo os fundos da Liquid.
“As transações não desaparecem, e nem as evidências que deixam para trás”, disse a empresa.
A empresa manteve que não pagaria pela devolução de propriedade roubada nem deixaria de perseguir o Bitcoin pendente.
“Devolvam o bitcoin”, disse a Blockstream.
