Blockstream отказалась платить выкуп за похищенные в Liquid биткоины

Blockstream опубликовала обновление по инциденту в сети Liquid и заявила, что не намерена выплачивать выкуп за примерно 598,5 BTC, которые до сих пор не возвращены, сообщает CoinDesk. Ранее адреса, связанные с атакой, перевели 3 400 BTC обратно в кошелёк Liquid Federation, удержав часть средств. Компания продолжит взаимодействовать с правоохранительными органами, криптобиржами и провайдерами ончейн-аналитики для отслеживания оставшихся активов. Масштабный вывод средств произошёл 6 сентября: из кошелька федерации было выведено почти 4 000 BTC, что на тот момент составляло большую часть резервов. Blockstream указала, что участники инцидента изначально называли себя "white hats" и выходили на связь через сообщения, встроенные в транзакции биткоина. 7 сентября на федеральный адрес вернули 3 400 BTC — около 85% от общего объёма выведенных средств. При этом порядка 598,5 BTC остаются на адресах, контролируемых другой стороной. По данным, приведённым в материале, на момент крупного возврата этот остаток оценивался почти в $47 млн. Компания отвергла версию о "белых хакерах". В посте в X от 11 сентября Blockstream подчеркнула, что несанкционированный вывод и удержание активов по сути является кражей, а не ответственным раскрытием уязвимости или "whitehat"-поведением. Blockstream также отметила, что общалась с контрагентом, руководствуясь необходимостью защитить средства пользователей и сообщество Bitcoin, но это не означает согласия с выводом средств или какими-либо последующими условиями. Согласно ончейн-сообщениям и переписке сторон, после устранения уязвимости другая сторона предложила вернуть большую часть биткоинов, не взяв обязательств вернуть всё. Затем прозвучало требование выплатить 10% "вознаграждения" за счёт корпоративных средств Blockstream, иначе держатели Liquid понесут убытки. Компания прямо отказалась выполнять это требование. Blockstream заявила, что уязвимость устранена и её мониторинг продолжается. По словам компании, причиной инцидента стала уязвимость конфликта cache key в логике валидации конфиденциальных транзакций Liquid; при этом ключи федерации скомпрометированы не были. Связанные bridge-ноды уже пропатчены. Во время инцидента Liquid временно приостанавливала производство блоков, а биржам рекомендовали остановить ввод и вывод LBTC. Что касается не возвращённых средств, Blockstream подчеркнула, что получатель ещё может добровольно вернуть остаток. Если удержание продолжится, компания будет совместно с правоохранителями, биржами, сервис-провайдерами и ончейн-экспертами отслеживать перемещения и устанавливать ответственных лиц. Blockstream отдельно напомнила, что транзакции Bitcoin оставляют публичный след в блокчейне, и даже при дроблении средств по нескольким кошелькам соответствующие связи остаются отслеживаемыми. Компания вновь заявила, что не заплатит выкуп за возврат похищенных активов и не прекратит попыток вернуть оставшиеся биткоины.