Blockstream ne paiera pas les hackers ayant vidé sa sidechain Liquid. Ce refus rompt avec une habitude courante dans la crypto, qui consiste à laisser les hackers se déclarant white hats conserver une partie de ce qu'ils ont pris.
Liquid est un réseau développé par Blockstream, où les utilisateurs verrouillent des Bitcoin (BTC) et reçoivent en échange un jeton équivalent, circulant plus rapidement. Les attaquants ont exploité une faille logicielle le 6 septembre, dérobant environ 4 000 BTC.
Pourquoi les hackers white hats ont appris à attendre une récompense
La faille a permis aux attaquants de créer des tokens Liquid sans qu’ils soient réellement adossés à des Bitcoin, puis de les convertir. Les clés de signature de la fédération n’ont jamais été volées, c’est pourquoi la transaction ayant vidé Liquid a été validée normalement.
Ils ont ensuite rendu 3 400 BTC après que Blockstream a corrigé le logiciel, puis ont demandé une bug bounty rétroactive. Ils ont conservé 598,5 BTC, d’une valeur d’environ 46 millions de dollars au prix actuel du Bitcoin.
Cette demande suit un schéma bien connu. Nomad, un bridge ayant perdu 190 millions de dollars en 2022, avait publiquement proposé aux hackers 10 % du butin afin qu’ils retournent le reste. Depuis, d’autres projets ont repris ce principe.
Blockstream estime que le terme white hat ne s’applique pas
Blockstream a déclaré dans son communiqué que les développeurs open source ne devraient pas financer des récompenses bien supérieures à leur propre mise sur un réseau.
Prendre des actifs sans autorisation et refuser de les rendre constitue un crime, et non une divulgation responsable. Ce n’est pas une activité de white hat. C’est un vol.
Le directeur technique de Ledger, Charles Guillemet, a mis en doute le statut de white hat quelques jours auparavant. Selon lui, les attaquants qui vident un bridge puis sollicitent un contact ne font pas de la recherche en sécurité.
La société n'est pas la seule à refuser ce type d’arrangement. Kraken a accusé des chercheurs en sécurité d’extorsion en 2024 après qu’ils se sont approprié 3 millions de dollars et fixé eux-mêmes un prix pour leur restitution.
BeInCrypto a rapporté le 7 septembre que la restitution partielle laissait toujours près de 600 BTC manquants. Cet écart n’a pas été comblé à ce jour, et Blockstream n’a pas indiqué publiquement qui assumera la perte si les pièces ne sont jamais restituées.
Désormais, la récupération dépend des forces de l’ordre, des exchanges et de la traçabilité on-chain, visant des acteurs que personne n’a encore identifiés. Le fait que Blockstream maintienne ou non son refus influencera ce que le prochain attaquant exigera.
Lisez l’article original Blockstream refuse la réduction de 10 % généralement attendue par les hackers white hat par Lockridge Okoth sur fr.beincrypto.com