Blockstream Tolak Bayar Tebusan Usai Pulihkan 85% BTC yang Dicuri dari Eksploit Liquid Network

Blockstream menegaskan tidak akan memenuhi permintaan tebusan setelah berhasil memulihkan sebagian besar dana yang dicuri dari Liquid Network. Perusahaan menyatakan pada 11 September bahwa mereka tidak akan membayar untuk sisa 598,5 BTC—bernilai sekitar US$47 juta—setelah sebelumnya mendapatkan kembali sekitar 3.400 BTC dari total 4.000 BTC yang dikuras dari dompet federasi Liquid Network pada 6 September. Menurut Blockstream, membayar penyerang demi pengembalian aset curian bukanlah praktik "responsible disclosure", melainkan negosiasi atas pencurian. Perusahaan menilai langkah tersebut hanya akan menjadi panduan bagi eksploit berikutnya di industri. Eksploit ini disebut memanfaatkan bug perangkat lunak pada basis kode Elements, kerangka open-source yang menjadi fondasi sidechain Liquid milik Blockstream. Celah tersebut memungkinkan pembuatan LBTC tanpa dukungan (unbacked), token pegged di jaringan, yang kemudian ditukar menjadi BTC riil dari dompet federasi. Blockstream menekankan insiden ini bukan akibat kompromi kunci penandatanganan federasi. Model keamanan multisignature yang mengatur kustodi Liquid tetap utuh. Penyerang memanfaatkan kelemahan logika pada proses validasi transaksi peg. Patch digulirkan dengan cepat, dan pada 7 September sekitar 3.400 BTC telah dikembalikan, setara kira-kira 85% dari dana yang dicuri. Selama pemulihan, Liquid Network sempat menghentikan operasi sementara sebelum kembali berjalan dengan jadwal produksi blok yang diperbarui. Proses negosiasi berlangsung terbuka di on-chain melalui pesan OP_RETURN dan transaksi Bitcoin bertanda tangan PGP. Pelaku awalnya mengaku sebagai "white hat" dan meminta bounty 10% agar seluruh BTC dikembalikan. Setelah Blockstream tidak segera menyetujui, tuntutan meningkat: dana hanya akan dikembalikan sesuai syarat mereka, atau pemegang BTC akan menanggung kerugian 15%. Blockstream menolak klaim "white hat" dan menyebut tindakan tersebut murni pencurian. Perusahaan berpendapat pelaku white hat seharusnya melaporkan kerentanan secara bertanggung jawab dan bekerja sama dengan tim terdampak, bukan menguras dana terlebih dulu lalu bernegosiasi setelahnya. Blockstream juga menyatakan telah melibatkan aparat penegak hukum dan spesialis forensik untuk melacak serta memulihkan sisa dana melalui jalur hukum. Jika tebusan dibayar, Blockstream memperkirakan biayanya sekitar US$47 juta. Insiden ini termasuk salah satu eksploit tunggal terbesar di industri kripto tahun ini. Liquid Network yang diluncurkan pada 2018 merupakan sidechain Bitcoin berbasis federasi yang ditujukan untuk penyelesaian lebih cepat dan transaksi rahasia, terutama bagi bursa dan trader institusional. Model federasinya mengandalkan konsorsium functionaries yang bersama-sama mengelola mekanisme peg antara Bitcoin dan LBTC.