Blockstream не будет платить злоумышленникам, которые опустошили её сайдчейн Liquid. Этот отказ идёт вразрез с практикой крипторынка, когда самопровозглашённым «белым хакерам» позволяют оставить себе часть украденного.
Liquid — это сеть, построенная Blockstream, где пользователи блокируют Bitcoin (BTC) и получают взамен соответствующий токен, который двигается быстрее. Злоумышленники воспользовались уязвимостью в программном обеспечении 6 сентября и вывели около 4,000 BTC.
Почему «белые хакеры» привыкли рассчитывать на долю
Уязвимость позволила злоумышленникам создавать токены Liquid, не обеспеченные реальными биткоинами, а затем конвертировать их. Ключи подписи федерации так и не были украдены, поэтому транзакция, опустошившая Liquid, прошла как обычная.
Позже они вернули 3,400 BTC, после того как Blockstream устранила уязвимость в ПО, а затем потребовали ретроактивное вознаграждение за обнаружение бага. Они оставили себе 598.5 BTC, что по текущему курсу биткоина составляет около $46 million.
Это требование следует известному сценарию. Nomad, мост, потерявший $190 million в 2022 году, публично предложил хакерам 10% от похищенного за возврат остального. С тех пор проекты копировали эту схему.
Blockstream заявляет, что ярлык «белых хакеров» здесь не подходит
В своём заявлении Blockstream отметила, что разработчики открытого исходного кода не должны финансировать выплаты, намного превышающие их собственную долю в сети.
Присвоение активов без разрешения и удержание их от возврата — это преступление, а не ответственное раскрытие информации. Это не деятельность «белого хакера». Это кража.
Технический директор Ledger Чарльз Гийме поставил под сомнение заявление о статусе «белого хакера» несколькими днями ранее. Он утверждал, что злоумышленники, которые опустошают мост, а затем предлагают связаться с ними, не занимаются исследованиями безопасности.
Blockstream не единственная компания, отказывающаяся платить. Kraken обвинила исследователей безопасности в вымогательстве в 2024 году после того, как они забрали $3 million и сами назначили цену за их возврат.
BeInCrypto сообщил 7 сентября, что после частичного возврата средств почти 600 BTC остаются невозвращёнными. Этот разрыв так и не закрыт, и Blockstream публично не сообщила, кто понесёт потери, если монеты так и не вернутся.
Теперь возврат средств зависит от правоохранительных органов, бирж и блокчейн-криминалистики, направленной на злоумышленников, личности которых пока никто не установил. От того, сохранится ли этот отказ, будет зависеть, чего потребует следующий атакующий.
Source: BeInCrypto
