Blockstream отказалась выплатить выкуп за примерно 598,5 BTC, которые остаются под контролем лиц, стоящих за эксплойтом Liquid Network, после того как ранее на этой неделе было возвращено 3400 BTC.
Краткое изложение
- Blockstream отказалась выплатить выкуп за биткоины, все еще удерживаемые лицами, стоящими за эксплойтом Liquid Network.
- Ранее эти лица вернули 3400 BTC после того, как из федеративного кошелька Liquid было выведено почти 4000 BTC.
- Blockstream отклонила позицию этих лиц как «белых хакеров» и заявила, что изъятие средств без разрешения и удержание их возврата равносильно краже.
- Компания заявила, что будет работать с правоохранительными органами, биржами, криминалистическими специалистами и поставщиками услуг, чтобы отследить и вернуть оставшиеся биткоины.
Blockstream заявила в посте на X от 11 сентября, что изъятие активов без разрешения и удержание их возврата равносильно краже, отвергнув описание этих действий как ответственного раскрытия информации или деятельности «белых хакеров».
«Мы не будем платить выкуп за возврат украденных средств, — заявила компания. — Изъятие активов без разрешения и удержание их возврата — это преступление, а не ответственное раскрытие информации. Это не деятельность «белых хакеров». Это кража».
Это заявление последовало за несколькими днями общения между Blockstream и неопознанными лицами после того, как 6 сентября из федеративного кошелька Liquid было выведено почти 4000 BTC.
Blockstream отказывается платить выкуп за оставшиеся биткоины
Blockstream заявила, что добросовестно взаимодействовала с этими лицами, чтобы вернуть средства, принадлежащие пользователям, и защитить сообщество биткоина, но заявила, что переговоры не означали принятия ни вывода средств, ни условий, которые позже были выдвинуты.
Компания утверждала, что разработчиков открытого программного обеспечения биткоина нельзя принуждать к выплате выкупа, превышающего их экономическое участие в проекте, после того как кто-то воспользовался уязвимостью в коде.
«Биткоин — это твердые деньги, и его нельзя создать без затрат. Биткоин не стрижет пользователей, чтобы заплатить выкуп», — заявила Blockstream.
Спор сосредоточен на примерно 598,5 BTC, которые остаются невыплаченными после возврата 3400 BTC в федеративный кошелек Liquid 7 сентября. Этот возврат восстановил примерно 85% биткоинов, выведенных во время инцидента.
Оставшиеся биткоины стоили около 47 миллионов долларов, когда был завершен более крупный возврат. Никакое публично раскрытое соглашение не давало этим лицам права удерживать монеты в качестве вознаграждения.
Изначально эти лица называли себя «белыми хакерами» и общались с Blockstream через сообщения, встроенные в транзакции биткоина. Перед возвратом 3400 BTC они сказали компании исправить уязвимость и обеспечить, чтобы каждый затронутый узел был пропатчен.
Позже Blockstream подтвердила через подписанное сообщение, что ее мостовые узлы были пропатчены и что средства можно безопасно возвращать.
Как ранее сообщал crypto.news, эти лица предложили вернуть большую часть выведенных биткоинов после исправления уязвимости, не обязавшись вернуть всю сумму.
Последующие сообщения в блокчейне изменили условия спора. Согласно сообщениям, опубликованным по мере продолжения переговоров, эти лица потребовали, чтобы Blockstream выплатила 10% вознаграждения из своих собственных средств, или же держатели Liquid столкнутся с убытками.
Теперь Blockstream отклонила любую выплату, связанную с возвратом оставшихся монет.
Эксплойт Liquid оставил непогашенными почти 600 BTC
Инцидент 6 сентября был связан с уязвимостью, затронувшей Liquid — сайдчейн Bitcoin, разработанный Blockstream. Из кошелька федерации ушло почти 4 000 BTC, что составляло большую часть Bitcoin, хранившихся в то время в резерве.
Последующее изучение эксплойта Liquid Network показало, что инцидент был вызван коллизией ключей кэша в логике проверки конфиденциальных транзакций. Blockstream заявила, что ключи федерации не были скомпрометированы.
Злоумышленники использовали эту уязвимость, чтобы получить Bitcoin из резерва федерации, прежде чем начать обмен в сети с Blockstream. Во время инцидента Liquid остановила производство блоков, а биржам было предложено приостановить ввод и вывод L-BTC.
После того как Blockstream исправила затронутые мостовые узлы, злоумышленники перевели 3 400 BTC обратно на адрес федерации. Примерно 598,5 BTC остались на адресе, контролируемом злоумышленниками.
В последнем заявлении Blockstream проводит границу между своими прежними усилиями по переговорам о возврате средств и любым соглашением о вознаграждении лиц, ответственных за это.
Компания заявила, что выплата требуемого создала бы прецедент, при котором разработчиков открытого исходного кода можно было бы принуждать финансировать крупные платежи после несанкционированного вывода средств из систем, использующих их программное обеспечение.
Blockstream сообщила сообществу Bitcoin, что продолжает работать для пользователей, чьи средства были похищены, и поблагодарила инженеров, криптографов и исследователей безопасности, которые помогли выявить и устранить уязвимости в программном обеспечении, связанном с Bitcoin.
Компания связала часть давления в сфере безопасности, с которым сталкиваются проекты с открытым исходным кодом, с достижениями в области искусственного интеллекта, заявив, что команды по всей экосистеме Bitcoin посвящают время поиску и исправлению слабых мест в продуктах и системах друг друга.
Проблемы безопасности, связанные с программным обеспечением Bitcoin, в последние месяцы всплывали и в других местах. В августе сторонники BTCPay Server поддержали вознаграждение за возврат в размере 10% от средств, возвращённых после эксплойта, который раскрыл учётные данные LND admin macaroon. Это вознаграждение было ограничено 3 BTC, если все украденные активы будут возвращены.
Эта договорённость последовала за активным эксплойтом, который побудил BTCPay Server рекомендовать операторам установить версию 2.4.2 или отключить затронутые серверы до тех пор, пока они не смогут обновиться.
Blockstream планирует добиваться возврата оставшихся средств
Поскольку переговоры не привели к полному возврату, Blockstream заявила, что люди, контролирующие оставшиеся Bitcoin, всё ещё имеют возможность отправить их обратно и вернуться к тому, что компания назвала стандартными принципами white-hat.
Если средства останутся непогашенными, компания заявила, что планирует работать с правоохранительными органами, биржами, поставщиками услуг, специалистами по криминалистике и другими сторонами, чтобы отследить Bitcoin и установить ответственных.
Транзакции Bitcoin оставляют публичную запись в блокчейне, давая следователям постоянный обзор перемещений с адресов, связанных с инцидентом, даже если монеты позже будут разделены между несколькими кошельками.
Подобный процесс отслеживания использовался и после других крупных краж Bitcoin. Например, Galaxy Research в августе обнаружила, что 1 561 BTC остались неперемещёнными после того, как исследователи связали 1 789,28 BTC убытков с эксплойтом Coldcard. Выявленные адреса атакующих были переданы биржам, комплаенс-компаниям и правоохранительным органам.
Blockstream заявила, что прозрачность Bitcoin позволит сообществу и следователям продолжать отслеживать доказательства, оставленные транзакциями, связанными со средствами Liquid.
«Транзакции не исчезают, и доказательства, которые они оставляют после себя, тоже», — заявила компания.
Компания настаивала, что не будет платить за возврат украденного имущества и не прекратит преследование оставшихся Bitcoin.
«Верните bitcoin», — заявила Blockstream.
