Blockstream vil ikke betale angriperne som tappet deres Liquid sidekjede. Dette bryter med en kryptovane der selvutnevnte white hat-hackere får beholde en del av det de tok.
Liquid er et nettverk bygget av Blockstream hvor brukere låser Bitcoin (BTC) og mottar en tilsvarende token som beveger seg raskere. Angripere utnyttet en programvarefeil 6. september og tok omtrent 4000 BTC.
Hvorfor white hat-hackere forventer å få en andel
Feilen gjorde det mulig for angriperne å lage Liquid-tokens som ikke var støttet av ekte Bitcoin, og deretter veksle dem ut. Federation-signaturnøkler ble aldri stjålet, og derfor ble transaksjonen som tappet Liquid godkjent på vanlig måte.
Senere returnerte de 3400 BTC etter at Blockstream hadde rettet programvaren, og ba deretter om en etterfølgende bug bounty. De beholdt 598,5 BTC, verdt omtrent $ 46 millioner til dagens Bitcoin kurs.
Dette kravet følger et mønster. Nomad, en bro som mistet $ 190 millioner i 2022, tilbød offentlig hackerne 10 % av byttet for å returnere resten. Prosjekter har kopiert denne ordningen siden.
Blockstream sier at white hat-betegnelsen ikke passer
Blockstream uttalte i sin uttalelse at open source-utviklere ikke bør finansiere utbetalinger som er langt større enn deres egen andel i et nettverk.
Å ta aktiva uten tillatelse og holde tilbake retur er en forbrytelse, ikke ansvarlig avsløring. Det er ikke white hat-aktivitet. Det er tyveri.
Ledgers teknologisjef Charles Guillemet satte spørsmålstegn ved white hat-tilfellet noen dager tidligere. Han argumenterte for at angripere som tømmer en bro og deretter inviterer til kontakt ikke driver med sikkerhetsforskning.
Selskapet er ikke alene om å nekte. Kraken anklaget sikkerhetsforskere for utpressing i 2024 etter at de tok $ 3 millioner og satte sin egen pris for å returnere det.
BeInCrypto rapporterte 7. september at den delvise returen fortsatt lot nesten 600 BTC stå igjen. Dette gapet er ikke lukket, og Blockstream har ikke offentlig sagt hvem som må ta tapet hvis myntene aldri kommer tilbake.
Oppgangen hviler nå på rettshåndhevelse, børser og blokkjedeanalyse rettet mot aktører ingen har identifisert. Om avslaget står, vil forme hva den neste angriperen ber om.
