Liquid"-Hacker werfen Blockstream Sicherheitsversäumnisse vor und fordern 10% Bug-Bounty

Der Konflikt zwischen Blockstream und einer Gruppe, die sich als Whitehat-Hacker ausgibt, eskaliert weiter. Laut einem aktuellen Update von Samson Mow wirft die Gruppe dem Unternehmen schwerwiegende Sicherheitsmängel vor. In ihrer Darstellung habe Blockstream lediglich 1,5 Mio. US-Dollar – oder möglicherweise gar nichts – für den Schutz von Vermögenswerten in Höhe von 5 Mrd. US-Dollar bereitgestellt. In einer neuen Nachricht bezeichneten die Angreifer dies als "eklatante Vernachlässigung der Sicherheit" und verlangten eine Bug-Bounty in Höhe von 10% – zu zahlen aus eigenen Mitteln von Blockstream. Andernfalls, so die Drohung, könnten Liquid-Nutzer einen Verlust von 15% erleiden. Blockstream wird in dem Schreiben zudem als "realitätsfremd, gierig und arrogant" im Umgang mit dem Vorfall bezeichnet. Außerdem kündigte die Gruppe an, im Anschluss den privaten Schlüssel zu veröffentlichen, der zur Entschlüsselung der Kommunikation erforderlich sei. Die Liquid-Sidechain bleibt weiterhin pausiert, während Blockstream und Mitglieder der Federation an weiteren Sicherheitsmaßnahmen arbeiten, einen Chain-Split beheben und einen koordinierten Neustart vorbereiten. Nutzer wurden angewiesen, bis zur Wiederinbetriebnahme keine Bitcoin an Liquid-Pegin-Adressen zu senden. Ausgangspunkt ist ein Vorfall vom 6. September: Rund 4.000 BTC im damaligen Gegenwert von etwa 320 Mio. US-Dollar wurden aus der Federation-Wallet von Liquid abgezogen. Die Verantwortlichen bezeichneten sich zunächst als Whitehats und stellten eine Rückgabe in Aussicht, sobald Blockstream die Sicherheitslücke schließe und alle betroffenen Nodes gepatcht seien. Nach Bestätigung, dass die Bridge-Nodes aktualisiert wurden, flossen 3.400 BTC zurück in die Federation-Wallet; etwa 598 BTC verblieben bei der Gruppe. Mow warnte die Beteiligten in einem separaten Post vor den Konsequenzen. Die Entscheidung Blockstreams, über PGP zu kommunizieren, sei bereits eine "Geste" gewesen. Er stellte infrage, ob es wirklich klug sei, die Entnahme der BTC öffentlich einzuräumen und anschließend eine Belohnung zu fordern. Zugleich deutete der ehemalige Chief Strategy Officer von Blockstream an, die Gruppe habe möglicherweise mehr Spuren hinterlassen als gedacht. Eine spätere Rückzahlung bedeute nicht automatisch, dass man ohne Folgen aus dem Vorfall herauskomme. "Als White Hat wird der Weg nur breiter; als Black Hat bist du für immer auf der Hut. Zu träumen, unversehrt mit Assets davonzugehen, ist nichts als Selbsttäuschung. Manche Türen lassen sich, einmal geöffnet, nie wieder schließen."