Хакери Liquid звинуватили Blockstream у провалах безпеки та вимагають 10% винагороди

Конфлікт між Blockstream і стороною, яка називає себе "білим" хакером, загострився, повідомив Самсон Моу в останньому оновленні. За словами атакувальників, компанія допустила серйозні прорахунки в безпеці, нібито виділивши лише $1,5 млн — або взагалі нічого — на захист активів на $5 млрд. У зверненні хакери назвали ситуацію "кричущою зневагою до безпеки" та зажадали, щоб Blockstream виплатила 10% bug bounty з власних коштів. Вони також попередили, що у разі відмови користувачі Liquid можуть зазнати втрат до 15%. Окремо Blockstream звинуватили в "самообмані, жадібності та зарозумілості" через підхід до безпеки. Додатково хакери заявили, що після цього планують оприлюднити приватний ключ, потрібний для розшифрування їхнього листування. Тим часом Liquid утримує сайдчейн на паузі: Blockstream і учасники Federation продовжують впроваджувати додаткові виправлення безпеки, усувати розгалуження ланцюга (chain split) і готувати скоординований перезапуск. Користувачам також рекомендували не надсилати біткоїни на адреси pegin у Liquid до відновлення роботи мережі. Останнє повідомлення з'явилося після того, як 6 вересня з гаманця Federation у Liquid було виведено близько 4 000 BTC — орієнтовно на $320 млн на той момент. Ініціатори виведення спершу назвали себе "whitehat" хакерами та пообіцяли повернути кошти після того, як Blockstream усуне вразливість і пропатчить усі уражені ноди. Після підтвердження Blockstream про оновлення bridge-нод до гаманця Federation повернули 3 400 BTC, тоді як приблизно 598 BTC залишилися у хакерів. В окремому дописі Моу попередив, що хакери можуть недооцінювати наслідки своїх дій. Він наголосив, що сам факт комунікації через PGP уже був "жестом ввічливості" з боку Blockstream, і поставив під сумнів, чи є "мудрим кроком" публічно визнавати вилучення BTC, а потім вимагати винагороду. Колишній Chief Strategy Officer Blockstream також припустив, що група могла залишити більше зачіпок, ніж усвідомлює, та застеріг: навіть спроба повернути кошти не означає, що можна просто піти від відповідальності за інцидент. "Як білий капелюх — дорога лише ширшає; як чорний — ти завжди насторожі. Мріяти піти, неушкодженим і з активами, — це лише самообман. Деякі двері, раз відчинені, вже неможливо зачинити", — написав Моу. Матеріал "Liquid Hackers Call Blockstream 'Delusional, Greedy, and Arrogant,' Demand 10% Bounty" спершу опублікував CryptoPotato.