Blockstream, Liquid yan zincirinden varlık çalan saldırganlara ödeme yapmayacağını duyuruyor. Bu tutum, kripto ekosisteminde "beyaz şapkalı" hacker’lara ele geçirdiklerinin bir kısmının bırakıldığı alışkanlığa karşı duruyor.
Liquid, Blockstream tarafından geliştirilen bir ağ ve kullanıcılar burada Bitcoin (BTC) kilitleyip karşılığında daha hızlı transfer olanağı tanıyan bir token alıyor. Saldırganlar 6 eylül’de yazılımda buldukları bir açığı kullanarak yaklaşık 4.000 BTC çaldı.
Beyaz Şapkalı Hacker’lar Neden Pay Bekliyor?
Sistemdeki açık, saldırganların gerçek bir Bitcoin tarafından desteklenmeyen Liquid token’lar oluşturmasına ve bunları dışarı çekmesine imkan verdi. Federasyon imzalama anahtarları ise hiçbir zaman çalınmadı. Bu yüzden Liquid’den varlık çıkan işlem normal şekilde tamamlandı.
İlerleyen günlerde saldırganlar Blockstream yazılımı yamadıktan sonra 3.400 BTC’yi iade etti ve ardından geriye dönük bug bounty talebinde bulundu. Ellerinde ise 598,5 BTC kaldı. Güncel Bitcoin fiyatlarıyla bu miktarın değeri yaklaşık 46 milyon dolar ediyor.
Bu tür talepler artık bir kalıp halini aldı. 2022’de 190 milyon dolar kaybeden köprü projesi Nomad, hacker’lara varlıkların %10’unu bırakıp kalanı iade etmeleri için açıkça teklif vermişti. Benzer birçok proje o günden beri aynı yolu izliyor.
Blockstream: "Beyaz Şapka" Tanımı Bu Vakalara Uygun Değil
Blockstream yaptığı açıklamada açık kaynak geliştiricilerinin, ağda kendi paylarından çok daha fazla ödeme yapmaya zorlanmaması gerektiğini ifade etti.
'İzinsiz varlık almak ve iadesini geri tutmak bir suçtur, sorumlu bir güvenlik açığı bildirimi değildir. Bu bir beyaz şapkalı davranış değil, açıkça hırsızlıktır.'
Ledger Teknoloji Direktörü Charles Guillemet ise birkaç gün önce yaptığı değerlendirmede beyaz şapkalı iddiasını sorguladı. Guillemet’e göre, köprüden tüm varlıkları çekip daha sonra iletişime açık olduğunu bildiren hacker’lar güvenlik araştırması değil, bambaşka bir iş yapıyor.
Şirket bu yaklaşımıyla yalnız değil. Kraken da 2024’te, 3 milyon dolar alıp geri göndermek için kendi fiyatını belirleyen güvenlik araştırmacılarını şantajla suçladı.
BeInCrypto, 7 eylül’de saldırganların kısmı iadelerinden sonra yaklaşık 600 BTC’nin hala kayıp olduğunu bildirmişti. Bu eksik halen giderilmiş değil ve Blockstream, coin’ler asla dönmezse açığın kimde kalacağına dair bir açıklama yapmadı.
İyileşme umutları şu anda kolluk kuvvetleri, kripto para borsaları ve zincir üstü adli analizlere kalmış durumda; çünkü henüz failler tam anlamıyla tespit edilebilmiş değil. Blockstream’in bu tutumu devam ederse sonraki saldırganların taleplerini de şekillendirecek. Bekleyip görmekte fayda var!
Orijinal Blockstream: Beyaz şapkalı hacker’lara beklenen %10’luk payı vermedi hikayesini Lockridge Okoth tarafından tr.beincrypto.com ’da okuyun