Blockstream rejeita exigência de recompensa de quase 600 bitcoins feita por hacker

A Blockstream rejeitou a exigência do atacante de quase 600 bitcoins avaliados em cerca de US$ 50 milhões. A disputa ocorreu após uma exploração em 6 de setembro envolvendo a Liquid. Uma vulnerabilidade permitiu que o atacante criasse cerca de 4.000 L-BTC sem lastro. O atacante retirou aproximadamente 3.996 BTC reais por meio da SideSwap. Ele devolveu 3.400 BTC depois que a Blockstream corrigiu os nós afetados. Em seguida, exigiu uma recompensa de 10% dos fundos da Blockstream e alertou que, caso contrário, os detentores poderiam enfrentar um déficit de cerca de 15%. Em 11 de setembro, a Blockstream disse que buscaria os fundos restantes por meio das autoridades policiais, de exchanges, provedores de serviços e especialistas forenses caso os fundos não fossem devolvidos voluntariamente. A SideSwap disse que 4.205 L-BTC continuavam em circulação em 10 de setembro. A reserva da federação detinha 3.597 BTC. Os bitcoins devolvidos elevaram a cobertura da reserva para cerca de 85%. A Liquid retomou a produção de blocos. Os mercados da SideSwap reabriram. As operações de entrada e saída do mecanismo de paridade continuaram desativadas durante a revisão de segurança da federação. O saldo restante era de 598,5 BTC. Lorenzo Romagnoli, da USDT0, disse que a recuperação foi excepcionalmente favorável para um protocolo de criptomoedas hackeado. Romagnoli disse que recusar uma recompensa substancial poderia reduzir o incentivo para que futuros atacantes devolvessem fundos roubados. A Blockstream disse que pagar criaria um precedente no qual os atacantes poderiam definir o preço para devolver ativos retirados de uma infraestrutura de código aberto. A Blockstream rejeitou a caracterização do atacante como hacker de chapéu branco. Samson Mow disse que o valor de cerca de US$ 5 bilhões citado pelo atacante incluía ativos pertencentes a diferentes emissores e detentores. Mow disse que o valor total dos ativos da rede não deveria determinar a recompensa. A SideSwap disse que o atacante ensaiou o padrão de transações durante horas antes de criar os L-BTC sem lastro. A SideSwap disse que 70 transações semelhantes precederam a cunhagem bem-sucedida. A carteira do ataque recebeu fundos rastreados por meio de uma ponte entre blockchains até a Tornado Cash. A SideSwap classificou o incidente como um ataque deliberado e preparado. O pesquisador de Bitcoin Alex Waltz disse que a carteira era monitorada de perto. Waltz disse que movimentar os BTC por meio de serviços identificáveis poderia fornecer pistas adicionais aos investigadores. O CEO da Blockstream, Adam Back, disse que a paridade entre L-BTC e BTC acabaria sendo coberta na proporção de um para um. A Blockstream não detalhou como financiará a diferença de cerca de 600 BTC se o atacante mantiver os fundos. A SideSwap disse que manteria seu serviço de paridade offline até que a federação introduza uma nova arquitetura de segurança.