Blockstream заявила, что не будет «платить выкуп» за возврат примерно 598,5 BTC, всё ещё удерживаемых после эксплойта Liquid.
В понедельник хакеры вернули 3 400 BTC, что составляет около 85% от похищенного.
Компания заявила, что будет работать с правоохранительными органами, биржами и специалистами по криминалистике, чтобы отследить остаток, если он не будет возвращён.
Blockstream отказалась платить за возврат 47 миллионов долларов в биткоинах, всё ещё пропавших из сети Liquid, прекратив многодневные переговоры с теми, кто их забрал.
«Завладение активами без разрешения и удержание их возврата — это преступление, а не ответственное раскрытие информации», —заявила компания в пятницу. «Это не деятельность «белых хакеров». Это кража».
Тем, кто несёт ответственность за кражу биткоинов из сети Liquid:
Blockstream не будет платить выкуп за возврат украденных средств. Завладение активами без разрешения и удержание их возврата — это преступление, а не ответственное раскрытие информации. Это не деятельность «белых хакеров». Это…
Около 4 000 BTC быловыведено из сайдчейна в воскресенье, что стоит около 320 миллионов долларов. Атакующиевернули 3 400 BTC в понедельник, оставив598,5 BTC на адресе, куда они вывели средства, где они остаются нетронутыми.
Уязвимость в том, как узлы Liquid кэшируют проверки доказательств диапазона, позволила атакующим создать необеспеченные L-BTC и обменять их на резервный биткоин через SideSwap, члена федерации, владеющего ключом авторизации вывода. Резерв упал до 197 BTC. Blockstream исправила мостовые узлы в течение десяти часов и выпустила Elements v23.3.4 в среду. Liquidвозобновила производство блоков и обработку транзакций в четверг, хотя выводы остаются отключёнными в качестве меры предосторожности, пока продолжается «заключительный этап восстановления». Отдельно она предупредила о мошенниках, нацеленных на операторов узлов с помощью поддельных сайтов обновлений.
Отчёт Liquid об инциденте во вторникпрозвучал в ином ключе: в нём говорилось, что компания координирует действия «с хакером в белой шляпе» для перезапуска сети.
Её участие в этих переговорах «не должно восприниматься как принятие предпринятых действий или выдвигаемых требований», заявила Blockstream. Эти требования были публичными. В биткоин-транзакции в среду эксплуатирующие уязвимостьнаписали, что Blockstream выделила «всего $1,5 млн (возможно, даже 0) на защиту активов стоимостью $5 млрд», назвав это «вопиющим пренебрежением безопасностью». Они требовали 10% «используя ваши собственные деньги в качестве вознаграждения за обнаружение ошибок», иначе «вы причините всем вашим держателям 15% убытка из-за вашей безответственности и скупости».
Прецедент, который Blockstream не создаст
Blockstream не станет «участником прецедента, согласно которому программное обеспечение с открытым исходным кодом, разработанное на благо сообщества биткоина, должно подвергать своих разработчиков выплате выкупа, намного превышающего их экономическое участие», — говорится в заявлении.
Он также не покроет недостачу за счет пользователей. «Биткоин — это твердые деньги, и его нельзя создать без затрат», — говорится в заявлении. «Биткоин не стрижет пользователей, чтобы заплатить выкуп».
Вместо этого он будет добиваться «всех законных путей» с правоохранительными органами, биржами и специалистами по криминалистике, если средства не будут возвращены. «Транзакции не исчезают, как и доказательства, которые они оставляют после себя», — предупредил он, завершив: «Верните биткоин».
