coinspot.io
Blockstream отказалась переводить злоумышленникам выкуп за 600 $BTC, которые остались у них после атаки на Liquid Network — федеративный сайдчейн для Bitcoin. Компания назвала произошедшее не раскрытием уязвимости, а кражей, и предупредила, что будет добиваться возврата средств через правоохранителей, биржи, сервисы и специалистов по Blockchain-расследованиям.
Инцидент связан с сентябрьским эксплойтом: предполагаемые «Белые хакеры» вывели около 4 000 $BTC из резервов федерации Liquid Network. По рыночной оценке на момент атаки речь шла примерно о 320 млн долларов. Позже большая часть средств вернулась, но около 600 $BTC, или приблизительно 47 млн долларов, по-прежнему находятся под контролем атакующих.
Blockstream считает удержание средств кражей
Позиция Blockstream жесткая: компания не намерена платить за возврат активов. По ее оценке, несанкционированный вывод средств и дальнейшее удержание части суммы нельзя считать ответственным раскрытием проблемы безопасности.
«Захват активов без разрешения и удержание их возврата — это преступление, а не ответственное раскрытие. Это не деятельность в белых шапках», — заявила Blockstream.
После атаки работа Liquid Network была приостановлена. Если оставшиеся монеты не вернутся, Blockstream планирует задействовать все законные инструменты: взаимодействие с правоохранительными органами, криптобиржами, поставщиками услуг и экспертами по ончейн-криминалистике.
Возможности расследования здесь опираются на две особенности Bitcoin:
- движение средств в сети Bitcoin можно отслеживать;
- следы в блокчейне не исчезают.
Прозрачность транзакций в блокчейне помогает расследовать кражи: каждый перевод оставляет видимый след.
Как сработал эксплойт Liquid
По данным Chainalysis, атакующие использовали уязвимость в механизме, с помощью которого Liquid кэшировала проверки подтверждения транзакций. Это позволило создать неподкрепленные L-$BTC и затем обменять их на настоящий Bitcoin.
Когда Blockstream подтвердила исправление мостовых нод, злоумышленники отправили обратно 3 400 $BTC одной транзакцией. Это около 85% всей выведенной суммы. Невозвращенная часть ушла как сдача на адрес, который контролируют атакующие.
Некоторые наблюдатели предположили, что удержанные 600 $BTC могли рассматриваться как фактическое вознаграждение за найденную уязвимость. Однако ни Blockstream, ни другая сторона не подтверждали существование подобной договоренности.
Почему эта история важна для рынка
Ситуация остается открытой. Blockstream дала понять, что пространство для ответственного урегулирования еще есть, но одновременно подчеркнула: публичная природа Bitcoin усложняет попытки скрыть украденный Asset. Любой перевод оставляет след, а значит, средства могут попасть под постоянное наблюдение аналитиков и сервисов мониторинга.
Для криптовалютной индустрии этот кейс стал болезненным напоминанием сразу о нескольких слабых местах:
- риски федеративных моделей хранения;
- риски мостовой инфраструктуры;
- необходимость постоянно проверять безопасность даже у специализированных решений.
Liquid создавалась как технология для быстрых расчетов с Bitcoin, но атака показала, что техническая специализация сама по себе не защищает от уязвимостей.
Отдельный вопрос — как подобные инциденты отражаются на пользователях и сервисах, где используется Cryptocurrency wallet для хранения или перемещения активов. Пока 600 $BTC не возвращены, конфликт между Blockstream и атакующими остается нерешенным, а дальнейшее движение средств будет внимательно отслеживаться рынком.