Blockstream non pagherà gli aggressori che hanno svuotato la sua sidechain Liquid. Questo rifiuto rompe una consuetudine del settore crypto, che prevede di solito che gli hacker auto-dichiarati white hat possano trattenere una parte di ciò che sono riusciti a sottrarre.
Liquid è una rete creata da Blockstream in cui gli utenti vincolano Bitcoin (BTC) e ricevono un token equivalente che si muove più rapidamente. Gli aggressori hanno sfruttato una falla del software il 6 settembre, riuscendo a sottrarre circa 4.000 BTC.
Perché gli hacker white hat hanno imparato ad aspettarsi una ricompensa
La vulnerabilità ha permesso agli aggressori di creare token Liquid non sostenuti da veri Bitcoin, che poi sono stati convertiti in uscita. Le chiavi di firma della federazione non sono mai state rubate, motivo per cui la transazione che ha prosciugato Liquid è stata regolarmente autorizzata.
Successivamente, hanno restituito 3.400 BTC una volta che Blockstream ha corretto il software, chiedendo poi una bug bounty retroattiva. Si sono trattenuti 598,5 BTC, per un valore di circa 46 milioni di dollari ai prezzi attuali di Bitcoin.
Questa richiesta segue uno schema già visto. Nomad, un bridge che aveva perso 190 milioni di dollari nel 2022, aveva dichiarato pubblicamente di offrire agli hacker il 10% del bottino in cambio della restituzione della restante parte. Da allora, diversi progetti hanno copiato questo tipo di accordo.
Blockstream afferma che la definizione di white hat non è appropriata
Blockstream ha spiegato nel suo comunicato che gli sviluppatori open-source non dovrebbero finanziare ricompense molto più grandi della loro stessa partecipazione nella rete.
Prendere asset senza autorizzazione e non restituirli è un crimine, non una comunicazione responsabile. Non si tratta di attività white-hat. È un furto.
Il Chief Technology Officer di Ledger, Charles Guillemet, aveva già messo in dubbio la definizione di white hat pochi giorni prima. Secondo lui, chi prosciuga un bridge per poi invitare a prendere contatto non sta facendo vera ricerca in ambito sicurezza.
L’azienda non è la sola a rifiutare simili richieste. Kraken ha accusato alcuni ricercatori di sicurezza di estorsione nel 2024, dopo che avevano preso 3 milioni di dollari e fissato in autonomia l’importo per la restituzione.
BeInCrypto ha riportato il 7 settembre che la restituzione parziale ha comunque lasciato quasi 600 BTC ancora mancanti. Questo divario non è stato colmato, e Blockstream non ha reso noto pubblicamente chi dovrà assorbirne la perdita qualora le monete non venissero restituite.
Ora il recupero dipende dalle forze dell’ordine, dagli exchange e dall’analisi forense on-chain rivolta a soggetti non ancora identificati. Se il rifiuto di Blockstream terrà, questo influenzerà le richieste dei prossimi aggressori.
Leggi la storia originale Blockstream rifiuta il taglio del 10% che gli hacker white hat hanno imparato ad aspettarsi di Lockridge Okoth su it.beincrypto.com