Blockstream відмовляється здійснювати виплату зловмисникам, які вивели активи з Liquid sidechain. Така позиція суперечить усталеній у криптовалютній галузі практиці, коли особи, що декларують себе білими хакерами, отримують частину повернутих коштів.
Liquid — це мережа, розроблена Blockstream, у якій користувачі блокують біткойни (BTC) та отримують еквівалентний токен із швидшим переміщенням. 6 вересня було використано вразливість у програмному забезпеченні, внаслідок чого зловмисники вивели близько 4 000 BTC.
Чому «білі хакери» очікують винагороду
Уразливість дозволила зловмисникам створювати токени Liquid, не забезпечені реальними біткойнами, а потім виводити їх. Ключі для підпису федерації при цьому не були скомпрометовані, тож транзакція, яка привела до виведення активів з Liquid, відбулася штатно.
Після виправлення вразливості компанією Blockstream було повернуто 3 400 BTC; опісля зловмисники вимагали ретроспективну винагороду (bug bounty). Вони залишили собі 598,5 BTC — близько $46 млн за поточним курсом.
Ця вимога є типовою. У 2022 році Nomad, міст, який втратив $190 млн, публічно запропонував зловмисникам 10% як винагороду за повернення іншої частини. Надалі цей підхід переймали інші криптовалютні проєкти.
Blockstream: визначення «білі хакери» не є коректним
Компанія Blockstream у своєму зверненні наголосила, що відкриті розробники не мають фінансувати винагороди, які істотно перевищують їхню власну частку у мережі.
Привласнення активів без дозволу та утримання їх — це злочин, а не відповідальна розкриття вразливостей. Такі дії не відносяться до білих хакерських практик, а є крадіжкою.
Технічний директор Ledger, Шарль Гійомет, публічно поставив під сумнів визначення таких осіб як «білі хакери» ще декілька днів тому. На його думку, якщо нападники повністю виводять активи з мосту та лише після цього пропонують контакти, це не є дослідженням безпеки.
Blockstream не єдина у відмові від співпраці. Kraken у 2024 році назвала подібну практику вимаганням, коли незалежні дослідники привласнили $3 млн та самостійно визначили ціну повернення.
За даними BeInCrypto станом на 7 вересня, після часткового повернення в мережі все ще залишалося майже 600 BTC, які не повернуто. Ця сума лишається поза системою, і Blockstream не надала публічних коментарів щодо того, хто зазнає втрат у разі остаточного неповернення.
Пошук рішень переходить у площину співпраці з правоохоронними органами, біржами, а також аналітикою блокчейну — ідентичність зловмисників досі не встановлено. Чи збережеться така жорстка позиція Blockstream, визначить характер майбутніх вимог з боку аналогічних акторів.
