Blockstream rifiuta la quota del 10% che gli hacker etici si aspettano ormai di ricevere
Blockstream non pagherà gli aggressori che hanno prosciugato la sua sidechain Liquid. Il rifiuto rompe con l’abitudine del settore crypto di permettere agli hacker che si autodefiniscono white hat di tenersi una parte di ciò che hanno sottratto.
Liquid è una rete realizzata da Blockstream in cui gli utenti bloccano Bitcoin (BTC) e ricevono in cambio un token equivalente, che si sposta più rapidamente. Il 6 settembre gli aggressori hanno sfruttato una vulnerabilità software e sottratto circa 4.000 BTC.
Perché gli hacker white hat hanno imparato ad aspettarsi una ricompensa
La vulnerabilità ha permesso agli aggressori di creare token Liquid non garantiti da Bitcoin reali e poi convertirli. Le chiavi di firma della federazione non sono mai state rubate: per questo la transazione che ha prosciugato Liquid è stata completata normalmente.
In seguito hanno restituito 3.400 BTC dopo che Blockstream ha corretto il software, chiedendo poi una ricompensa retroattiva per la segnalazione del bug. Si sono tenuti 598,5 BTC, pari a circa 46 milioni di dollari ai prezzi attuali di Bitcoin.
La richiesta segue uno schema già visto. Nomad, un bridge che nel 2022 ha perso 190 milioni di dollari, ha offerto pubblicamente agli hacker il 10% del bottino in cambio della restituzione del resto. Da allora altri progetti hanno adottato lo stesso accordo.
Blockstream afferma che l’etichetta di white hat non è appropriata
Nella sua dichiarazione, Blockstream ha affermato che gli sviluppatori open source non dovrebbero finanziare pagamenti di gran lunga superiori alla loro quota nella rete.
Prelevare beni senza autorizzazione e trattenerli invece di restituirli è un reato, non una divulgazione responsabile. Non è un’attività da white hat. È un furto.
Il Chief Technology Officer di Ledger, Charles Guillemet, aveva messo in dubbio la rivendicazione di essere white hat già alcuni giorni prima. Chi svuota un bridge e poi invita a contattarlo non sta facendo ricerca sulla sicurezza, ha sostenuto.
L’azienda non è la sola a rifiutarsi. Nel 2024 Kraken ha accusato alcuni ricercatori di sicurezza di estorsione, dopo che avevano sottratto 3 milioni di dollari e stabilito un prezzo per restituirli.
Il 7 settembre BeInCrypto ha riferito che la restituzione parziale lasciava ancora scoperti quasi 600 BTC. La situazione non è cambiata e Blockstream non ha dichiarato pubblicamente chi si farà carico della perdita se le monete non dovessero tornare.
Il recupero dipende ora dalle forze dell’ordine, dagli exchange e dalle analisi forensi della blockchain, con l’obiettivo di individuare autori ancora sconosciuti. Il fatto che il rifiuto regga o meno influenzerà le richieste del prossimo aggressore.
Fonte: BeInCrypto