Blockstream отказалась платить выкуп после возврата 85% украденных BTC из-за эксплойта Liquid Network

Blockstream заняла жесткую позицию в истории с взломом Liquid Network. Компания сообщила, что после возврата около 3 400 BTC из 4 000 BTC, выведенных 6 сентября из кошелька федерации Liquid Network, не намерена выплачивать выкуп за оставшиеся 598,5 BTC. По текущей оценке речь идет примерно о $47 млн. В Blockstream подчеркнули: выплаты злоумышленникам за "возврат" украденных активов — это переговоры с ворами, а не ответственное раскрытие уязвимости; такой подход лишь сформирует инструкцию для будущих атак по всему рынку. Что произошло в Liquid Network Атака была связана с программной ошибкой в кодовой базе Elements — opensource-фреймворке, на котором построен сайдчейн Liquid. Уязвимость позволяла создавать необеспеченные LBTC (привязанный к биткойну токен сети), после чего их обменивали на реальный BTC из федеративного кошелька. В Blockstream отдельно отметили, что компрометации ключей подписантов не было: мультиподписная модель безопасности, лежащая в основе хранения в Liquid, не нарушалась. Злоумышленники использовали логическую ошибку в механизме проверки peg-транзакций. Компания оперативно выпустила патчи, и уже к 7 сентября обратно было возвращено около 3 400 BTC — порядка 85% похищенных средств. На время восстановления Liquid Network приостанавливала работу, после чего возобновила ее с обновленной программой выпуска блоков. Публичные "переговоры" в ончейне Переписка Blockstream с атакующими разворачивалась публично — через onchain-сообщения OP_RETURN и PGP-подписанные транзакции в сети Bitcoin. Сначала злоумышленники называли себя "белыми хакерами" и требовали у Blockstream вознаграждение в размере 10% за полный возврат украденных BTC. После отсутствия немедленного согласия тон изменился: атакующие заявили, что при отказе выполнить их условия держатели BTC столкнутся с потерей 15%. Blockstream квалифицировала произошедшее как кражу и отвергла "white hat"-версию. По позиции компании, "белые" исследователи раскрывают уязвимости ответственно и взаимодействуют с командой проекта, а не выводят средства и затем торгуются. Blockstream также сообщила о взаимодействии с правоохранительными органами и специалистами по блокчейн-расследованиям, чтобы отследить и вернуть оставшиеся средства в правовом поле. Риск прецедента Выплата выкупа обошлась бы Blockstream примерно в $47 млн. Инцидент вошел в число крупнейших одиночных эксплойтов на крипторынке в текущем году. Liquid Network, запущенная в 2018 году, — федеративный биткойн-сайдчейн для ускоренных расчетов и конфиденциальных транзакций, ориентированный в первую очередь на биржи и институциональных трейдеров. Модель федерации опирается на консорциум functionaries, которые совместно управляют механизмом привязки между Bitcoin и LBTC.