Liquid: rzekomi whitehat hakerzy oskarżają Blockstream o zaniedbania i żądają 10% nagrody

Spór między Blockstream a grupą podającą się za hakerów "whitehat" zaostrzył się — wynika z najnowszej aktualizacji przekazanej przez Samsona Mowa. Atakujący zarzucają firmie poważne braki w zabezpieczeniach i twierdzą, że na ochronę aktywów o wartości 5 mld USD przeznaczono jedynie 1,5 mln USD, a być może w ogóle nic. W wiadomości określono sytuację jako "rażące zaniedbanie bezpieczeństwa" i zażądano wypłaty 10% nagrody za błąd (bug bounty) z własnych środków Blockstream. Autorzy ostrzegli też, że brak zapłaty może przełożyć się na 15% strat po stronie użytkowników Liquid. Jednocześnie oskarżyli Blockstream o bycie "oderwanym od rzeczywistości, chciwym i aroganckim" w podejściu do kwestii bezpieczeństwa. Zapowiedzieli również, że po wszystkim opublikują klucz prywatny potrzebny do odszyfrowania ich rozmów. Sieć Liquid pozostaje wstrzymana, a Blockstream wraz z członkami Federacji pracują nad kolejnymi poprawkami bezpieczeństwa, usuwają skutki rozdzielenia łańcucha (chain split) i przygotowują skoordynowany restart. Użytkownikom zalecono, by do czasu ponownego uruchomienia nie wysyłali Bitcoina na adresy pegin Liquid. Najnowsza eskalacja nastąpiła po zdarzeniu z 6 września, gdy z portfela Federacji Liquid wypłacono ok. 4 000 BTC, wartych wówczas około 320 mln USD. Osoby stojące za wypłatą początkowo przedstawiały się jako "whitehat" i deklarowały zwrot środków po usunięciu luki oraz załataniu wszystkich podatnych węzłów. Po potwierdzeniu przez Blockstream, że węzły mostu (bridge nodes) zostały zaktualizowane, do portfela Federacji wróciło 3 400 BTC, a około 598 BTC pozostało w rękach hakerów. W osobnym wpisie Mow ostrzegł, że sprawcy mogą nie doceniać konsekwencji swoich działań. Zwrócił uwagę, że samo prowadzenie z nimi korespondencji przez PGP było ze strony Blockstream "uprzejmością", i zasugerował, że publiczne przyznanie się do przejęcia BTC, a następnie żądanie nagrody, nie musi być "rozsądnym ruchem". Były dyrektor ds. strategii Blockstream dodał, że grupa mogła zostawić więcej śladów, niż sądzi, oraz że próba zwrotu środków nie oznacza automatycznie, iż da się po prostu odejść od incydentu bez konsekwencji. "Jako white hat droga tylko się poszerza; jako black hat zawsze żyjesz w napięciu. Marzenie o odejściu bez szwanku z aktywami to czysta iluzja. Niektórych drzwi, raz otwartych, nie da się już zamknąć" — napisał.