Blockstream wird die Angreifer, die die Liquid-Sidechain geleert haben, nicht auszahlen. Die Ablehnung unterscheidet sich von der für Krypto typischen Praxis, selbsternannten White-Hat-Hackern einen Teil der gestohlenen Vermögenswerte zu überlassen.
Liquid ist ein von Blockstream entwickeltes Netzwerk, in dem Nutzer Bitcoin (BTC) sperren und dafür einen entsprechenden Token erhalten, der schneller übertragen wird. Angreifer nutzten am 6. September eine Software-Schwachstelle aus und entwendeten etwa 4.000 BTC.
Warum White-Hat-Hacker mit einer Belohnung rechnen
Durch die Schwachstelle konnten die Angreifer Liquid-Token erschaffen, für die es keine echten Bitcoin als Deckung gab, und diese dann aus dem System bringen. Die Schlüssel zum Signieren der Federation wurden nie gestohlen, weshalb die Transaktion, die Liquid geleert hat, normal ausgeführt wurde.
Nachdem Blockstream die Software aktualisiert hatte, gaben die Angreifer 3.400 BTC zurück und forderten im Nachhinein eine Bug-Bounty-Prämie. Sie behielten 598,5 BTC, die beim aktuellen Bitcoin-Kurs etwa 46 Millionen USD wert sind.
Diese Forderung folgt einem bekannten Ablauf. Nomad, eine Bridge, die 2022 Verluste von 190 Millionen USD erlitt, bot den Hackern öffentlich 10 % der Summe, wenn sie den Rest zurückgeben. Seitdem haben verschiedene Projekte dieses Vorgehen übernommen.
Blockstream: Das White-Hat-Etikett passt nicht
Blockstream erklärte in einer Stellungnahme, Entwickler von Open-Source-Projekten sollten keine Auszahlungen leisten müssen, die den eigenen Einsatz im Netzwerk weit übersteigen.
Vermögenswerte ohne Erlaubnis zu nehmen und die Rückgabe zu verweigern, ist eine Straftat, keine verantwortungsvolle Offenlegung. Es ist keine White-Hat-Aktivität, sondern Diebstahl.
Charles Guillemet, Chief Technology Officer von Ledger, zweifelte das White-Hat-Etikett bereits wenige Tage zuvor an. Angreifer, die eine Bridge leeren und danach zur Kontaktaufnahme auffordern, würden keine Sicherheitsforschung betreiben, argumentierte er.
Blockstream steht mit der Ablehnung nicht allein da. Kraken beschuldigte Sicherheitsforscher 2024 der Erpressung, nachdem sie 3 Millionen USD einbehalten und den Preis für die Rückgabe selbst festgelegt hatten.
BeInCrypto berichtete am 7. September, dass nach der teilweisen Rückgabe weiterhin knapp 600 BTC fehlen. Diese Lücke besteht weiterhin, und Blockstream hat bislang nicht öffentlich erklärt, wer den Schaden trägt, falls die Coins nicht zurückkehren.
Die Rückgewinnung hängt nun von Strafverfolgungsbehörden, Börsen und Blockchain-Forensik ab, da die verantwortlichen Akteure noch unbekannt sind. Ob Blockstream bei seiner Ablehnung bleibt, wird beeinflussen, welche Forderungen kommende Angreifer stellen.
Lesen Sie die Originalgeschichte Blockstream lehnt den 10-%-Anteil ab, den White-Hat-Hacker üblicherweise erwarten von Lockridge Okoth auf de.beincrypto.com