Blockstream ปฏิเสธจ่ายค่าไถ่ หลังตามคืน BTC ได้ 85% จากเหตุโจมตี Liquid Network

Blockstream ประกาศยืนกรานไม่จ่ายค่าไถ่สำหรับ BTC ที่ยังสูญหาย หลังสามารถกู้คืนได้ราว 3,400 BTC จากทั้งหมด 4,000 BTC ที่ถูกดูดออกจากกระเป๋า federation wallet ของ Liquid Network เมื่อวันที่ 6 กันยายน โดยเมื่อวันที่ 11 กันยายน บริษัทระบุว่าจะไม่จ่ายเพื่อแลกกับการคืนอีก 598.5 BTC ซึ่งมีมูลค่าประมาณ 47 ล้านดอลลาร์สหรัฐ บริษัทให้เหตุผลว่า การชดเชยให้ผู้โจมตีเพื่อแลกกับการคืนทรัพย์สินที่ขโมยไปคือการต่อรองกับการโจรกรรม ไม่ใช่การเปิดเผยช่องโหว่อย่างรับผิดชอบ และจะกลายเป็น "คู่มือ" ให้เหตุโจมตีในอนาคตทั้งอุตสาหกรรม เหตุการณ์บน Liquid Network เกิดจากการโจมตีช่องโหว่ซอฟต์แวร์ในโค้ดเบส Elements ซึ่งเป็นเฟรมเวิร์กโอเพนซอร์สที่เป็นรากฐานของไซด์เชน Liquid ของ Blockstream ช่องโหว่นี้ทำให้สามารถสร้าง LBTC (โทเคนที่ผูกกับ Bitcoin บนเครือข่าย) แบบไม่มีสินทรัพย์หนุนหลังได้ ก่อนจะนำไปสวอปเป็น BTC จริงจาก federation wallet Blockstream เน้นย้ำว่า เหตุการณ์ครั้งนี้ไม่ใช่การถูกเจาะคีย์สำหรับลงนามของ federation โมเดลความปลอดภัยแบบมัลติซิกที่ใช้ดูแลการคัสโตดีของ Liquid ยังไม่ถูกทำลาย ผู้โจมตีอาศัยข้อบกพร่องเชิงตรรกะในกระบวนการตรวจสอบความถูกต้องของธุรกรรม peg บริษัทได้ออกแพตช์อย่างรวดเร็ว และภายในวันที่ 7 กันยายน มีการส่งคืน BTC ประมาณ 3,400 BTC คิดเป็นราว 85% ของเงินที่ถูกขโมย Liquid Network ระงับการทำงานชั่วคราวระหว่างกระบวนการกู้คืน ก่อนกลับมาเดินระบบด้วยโปรแกรมการผลิตบล็อกที่อัปเดตแล้ว การเจรจาบนเชนทวีความตึงเครียด การสื่อสารระหว่าง Blockstream กับผู้ก่อเหตุเกิดขึ้นต่อหน้าสาธารณะ ผ่านข้อความ OP_RETURN บนเชนและธุรกรรม Bitcoin ที่ลงนามด้วย PGP ผู้โจมตีอ้างตนเป็น "ไวท์แฮต" และเรียกร้องค่าตอบแทน 10% จาก Blockstream เพื่อแลกกับการคืน BTC ทั้งหมด เมื่อบริษัทไม่ตอบสนองตามนั้นทันที ผู้โจมตีเพิ่มแรงกดดัน โดยขู่ว่าหากไม่ทำตามเงื่อนไข ผู้ถือ BTC จะต้องรับผลขาดทุน 15% Blockstream ระบุว่าเป็นการโจรกรรม และปฏิเสธนิยามไวท์แฮตอย่างสิ้นเชิง พร้อมชี้ว่าไวท์แฮตที่แท้จริงต้องแจ้งช่องโหว่อย่างรับผิดชอบและทำงานร่วมกับทีมที่ได้รับผลกระทบ ไม่ใช่ดูดเงินออกไปก่อนแล้วค่อยมาเจรจาทีหลัง บริษัทระบุว่าได้ประสานหน่วยงานบังคับใช้กฎหมายและผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์ดิจิทัล เพื่อสืบเส้นทางและกู้คืนเงินที่เหลือผ่านช่องทางกฎหมาย ประเด็นสำคัญอีกด้านคือ "ปัญหาเรื่องแบบอย่าง" เพราะการจ่ายค่าไถ่จะทำให้ Blockstream ต้องเสียราว 47 ล้านดอลลาร์สหรัฐ และเหตุการณ์นี้ถูกจัดว่าเป็นหนึ่งในดีลการโจมตีครั้งใหญ่ที่สุดของวงการคริปโตในปีนี้ Liquid Network เปิดให้บริการตั้งแต่ปี 2018 เป็นไซด์เชนของ Bitcoin แบบสหพันธ์ (federated) ที่ออกแบบมาเพื่อการชำระบัญชีที่รวดเร็วขึ้นและธุรกรรมแบบรักษาความลับ โดยมุ่งให้บริการกับตลาดซื้อขายและนักลงทุนสถาบัน โมเดลสหพันธ์อาศัยกลุ่ม "functionaries" ที่ร่วมกันบริหารกลไก peg ระหว่าง Bitcoin และ LBTC