Blockstream відмовилася платити викуп після повернення 85% викрадених BTC унаслідок експлойту Liquid Network

Blockstream заявила, що не платитиме викуп за решту біткоїнів, викрадених під час атаки на Liquid Network. Після інциденту 6 вересня з федеративного гаманця Liquid було виведено близько 4 000 BTC, але компанія змогла повернути приблизно 3 400 BTC. 11 вересня Blockstream повідомила, що не погодиться на вимоги щодо повернення невідшкодованих 598,5 BTC, які оцінюються приблизно у $47 млн. Позиція компанії зводиться до того, що виплата винагороди за "повернення" вкрадених активів є переговорами з крадіями, а не відповідальним розкриттям уразливості. На думку Blockstream, такий крок створив би шаблон поведінки для майбутніх атак у галузі. Що сталося в Liquid Network За даними Blockstream, зловмисники скористалися помилкою в кодовій базі Elements — open-source фреймворку, на якому працює сайдчейн Liquid. Уразливість дала змогу створювати незабезпечені LBTC — прив'язаний до біткоїна токен мережі — і обмінювати їх на реальні BTC з федеративного гаманця. Компанія наголосила, що компрометації ключів підпису федерації не було. Модель безпеки з мультипідписом, яка лежить в основі зберігання в Liquid, залишилася незмінною. Атака була пов'язана з логічною помилкою в механізмі перевірки peg-транзакцій. Blockstream оперативно випустила патчі, а вже до 7 вересня було повернуто приблизно 3 400 BTC — близько 85% викрадених коштів. На час відновлення Liquid Network тимчасово призупиняла роботу, після чого відновила блок-продакшн за оновленою програмою. Переговори в ончейні перейшли в конфлікт Комунікація між Blockstream та виконавцями атаки відбувалася публічно через ончейн-повідомлення OP_RETURN і PGP-підписані транзакції Bitcoin. Зловмисники спочатку назвали себе "white hat" і вимагали 10% винагороди за повне повернення викрадених BTC. Після того як Blockstream не прийняла умови одразу, риторика загострилася: або повернення на їхніх умовах, або власники BTC нібито зазнають 15% втрат. Blockstream відкинула визначення "white hat" та назвала інцидент крадіжкою. Компанія підкреслила, що етичні дослідники вразливостей повідомляють про проблему та співпрацюють із командою, а не спершу виводять кошти й лише потім ведуть торг. Blockstream також підтвердила залучення правоохоронних органів і фахівців із блокчейн-форензіки, щоб відстежити та повернути решту активів у правовому полі. Проблема прецеденту Якби компанія погодилася на вимоги, це коштувало б їй близько $47 млн. Подію відносять до найбільших одиничних експлойтів у криптоіндустрії цього року. Liquid Network, запущена у 2018 році, — це федеративний сайдчейн Bitcoin, орієнтований на швидші розрахунки та конфіденційні транзакції, насамперед для бірж і інституційних трейдерів. Її федеративна модель спирається на консорціум функціонерів, які спільно керують механізмом прив'язки між Bitcoin і LBTC.