Blockstream відмовилася сплатити викуп за приблизно 598,5 BTC, які залишаються під контролем осіб, причетних до експлойту Liquid Network, після того як раніше цього тижня було повернуто 3 400 BTC.
Резюме
- Blockstream відмовилася сплатити викуп за Bitcoin, який досі утримують особи, причетні до експлойту Liquid Network.
- Ці особи раніше повернули 3 400 BTC після того, як з федеративного гаманця Liquid було виведено майже 4 000 BTC.
- Blockstream відкинула позицію цих осіб як «білих хакерів» і заявила, що взяття коштів без дозволу та утримання їх від повернення є крадіжкою.
- Компанія заявила, що співпрацюватиме з правоохоронними органами, біржами, фахівцями з криміналістики та постачальниками послуг для відстеження й повернення решти Bitcoin.
Blockstream у дописі на X від 11 вересня заявила, що взяття активів без дозволу та утримання їх від повернення є крадіжкою, відкинувши опис цими особами своїх дій як відповідального розкриття або діяльності «білих хакерів».
«Ми не платитимемо викуп за повернення викрадених коштів», — заявила компанія. «Взяття активів без дозволу та утримання їх від повернення — це злочин, а не відповідальне розкриття. Це не діяльність «білих хакерів». Це крадіжка».
Ця заява з'явилася після кількох днів спілкування між Blockstream і неідентифікованими особами після того, як 6 вересня з федеративного гаманця Liquid було виведено майже 4 000 BTC.
Blockstream відмовляється платити викуп за решту Bitcoin
Blockstream заявила, що вела переговори з цими особами добросовісно, щоб повернути кошти, що належать користувачам, і захистити спільноту Bitcoin, але зазначила, що переговори не означали прийняття ані виведення коштів, ані умов, висунутих згодом.
Компанія стверджувала, що розробників відкритого програмного забезпечення Bitcoin не слід змушувати платити викуп, який перевищує їхню економічну участь у проєкті, після того як хтось скористався вразливістю коду.
«Bitcoin — це тверді гроші, і його не можна карбувати без витрат; Bitcoin не стриже користувачів, щоб сплатити викуп», — заявила Blockstream.
Спір точиться навколо приблизно 598,5 BTC, які залишаються неповернутими після повернення 3 400 BTC до федеративного гаманця Liquid 7 вересня. Це повернення відновило приблизно 85% Bitcoin, виведених під час інциденту.
Решта Bitcoin коштувала близько 47 мільйонів доларів, коли було завершено більше повернення. Жодна публічно розкрита угода не уповноважувала цих осіб залишити монети собі як винагороду.
Спочатку ці особи описували себе як «білих хакерів» і спілкувалися з Blockstream через повідомлення, вбудовані в транзакції Bitcoin. Перед поверненням 3 400 BTC вони сказали компанії виправити вразливість і забезпечити, щоб кожен постраждалий вузол було пропатчено.
Згодом Blockstream підтвердила через підписане повідомлення, що її мостові вузли було пропатчено і що кошти безпечно повертати.
Як раніше повідомляло crypto.news, ці особи пропонували повернути більшість виведених Bitcoin після виправлення вразливості, не зобов'язуючись повернути всю суму.
Подальші повідомлення в блокчейні змінили умови спору. Згідно з повідомленнями, опублікованими під час продовження переговорів, ці особи вимагали, щоб Blockstream сплатила 10% винагороди з власних коштів, або ж власники Liquid зазнають збитків.
Тепер Blockstream відкинула будь-яку оплату, пов'язану з поверненням решти монет.
Експлойт Liquid залишив непогашеними майже 600 BTC
Інцидент 6 вересня був пов’язаний з уразливістю, що вплинула на Liquid, біткоїн-сайдчейн, розроблений Blockstream. Майже 4 000 BTC покинули гаманець федерації, що становило більшість біткоїнів, які на той час зберігалися в резерві.
Пізніше дослідження експлойту Liquid Network показало, що інцидент стався через колізію ключів кешу в логіці перевірки конфіденційних транзакцій. Blockstream заявила, що ключі федерації не були скомпрометовані.
Зловмисники використали цю вразливість, щоб отримати біткоїни з резерву федерації, перш ніж розпочати обмін в мережі з Blockstream. Під час інциденту Liquid зупинила виробництво блоків, а біржі попросили призупинити депозити та зняття L-BTC.
Після того як Blockstream виправила уражені вузли мосту, зловмисники переказали 3 400 BTC назад на адресу федерації. Приблизно 598,5 BTC залишилося на адресі, контрольованій зловмисниками.
Остання заява Blockstream проводить межу між її попередніми зусиллями щодо переговорів про повернення та будь-якою угодою винагородити відповідальних осіб.
Компанія заявила, що сплата вимоги створила б прецедент, за якого розробників відкритого коду можна було б змусити фінансувати великі виплати після несанкціонованого виведення коштів із систем, що використовують їхнє програмне забезпечення.
Blockstream повідомила спільноті Bitcoin, що продовжує працювати для користувачів, чиї кошти були викрадені, і подякувала інженерам, криптографам і дослідникам безпеки, які допомогли виявити та виправити вразливості в програмному забезпеченні, пов’язаному з Bitcoin.
Компанія пов’язала частину тиску на безпеку, з яким стикаються проєкти з відкритим кодом, із прогресом у сфері штучного інтелекту, заявивши, що команди по всій екосистемі Bitcoin присвячують час пошуку та виправленню слабких місць у продуктах і системах одне одного.
Проблеми безпеки, пов’язані з програмним забезпеченням Bitcoin, з’являлися й в інших місцях протягом останніх місяців. У серпні прихильники BTCPay Server підтримали винагороду за відновлення, що дорівнює 10% коштів, повернутих після експлойту, який розкрив облікові дані LND admin macaroon. Ця винагорода була обмежена 3 BTC, якщо всі викрадені активи буде відновлено.
Ця домовленість стала наслідком активного експлойту, який змусив BTCPay Server порадити операторам встановити версію 2.4.2 або вимкнути уражені сервери, доки вони не зможуть оновитися.
Blockstream планує переслідувати решту коштів
Оскільки переговори не призвели до повного повернення, Blockstream заявила, що люди, які контролюють решту біткоїнів, усе ще мають можливість надіслати їх назад і повернутися до того, що компанія назвала стандартними принципами white-hat.
Якщо кошти залишаться неповернутими, компанія заявила, що планує працювати з правоохоронними органами, біржами, постачальниками послуг, фахівцями з криміналістики та іншими сторонами, щоб відстежити біткоїни та встановити відповідальних.
Біткоїн-транзакції залишають публічний запис у блокчейні, даючи слідчим постійний огляд руху з адрес, пов’язаних з інцидентом, навіть якщо згодом монети буде розділено між кількома гаманцями.
Подібний процес відстеження використовувався після інших великих крадіжок біткоїнів. Наприклад, Galaxy Research у серпні виявила, що 1 561 BTC залишилися нерухомими після того, як дослідники віднесли 1 789,28 BTC збитків до експлойту Coldcard. Ідентифіковані адреси атакувальників було передано біржам, компаніям із комплаєнсу та правоохоронним органам.
Blockstream заявила, що прозорість Bitcoin дозволить спільноті та слідчим продовжувати відстежувати докази, залишені транзакціями, пов’язаними з коштами Liquid.
«Транзакції не зникають, і докази, які вони залишають, теж», — заявила компанія.
Компанія наполягла, що не платитиме за повернення викраденого майна і не припинить переслідування неповернутих біткоїнів.
«Поверніть біткоїни», — заявила Blockstream.
