Blockstream từ chối trả tiền chuộc sau khi thu hồi 85% số BTC bị đánh cắp trong vụ khai thác Liquid Network

Blockstream khẳng định sẽ không trả tiền chuộc cho số BTC còn lại sau vụ tấn công vào ví federation của Liquid Network. Sau khi thu hồi khoảng 3.400 BTC trong tổng số 4.000 BTC bị rút khỏi ví vào ngày 6/9, công ty thông báo ngày 11/9 rằng họ sẽ không chấp nhận yêu cầu tiền chuộc cho 598,5 BTC chưa thu hồi, trị giá xấp xỉ 47 triệu USD. Theo Blockstream, việc trả tiền để đổi lấy tài sản bị đánh cắp không phải là "tiết lộ có trách nhiệm" mà là thương lượng với hành vi trộm cắp, và sẽ tạo tiền lệ nguy hiểm, biến nó thành "kịch bản" cho các vụ khai thác tương lai trong ngành. Diễn biến sự cố trên Liquid Network Vụ khai thác nhắm vào một lỗi phần mềm trong codebase Elements, bộ khung mã nguồn mở làm nền tảng cho sidechain Liquid của Blockstream. Lỗ hổng cho phép tạo LBTC không được bảo chứng (token neo của mạng), sau đó số LBTC này được hoán đổi lấy BTC thật từ ví federation. Blockstream nhấn mạnh đây không phải là sự cố lộ khóa ký. Mô hình bảo mật multisig chi phối cơ chế lưu ký của Liquid vẫn không bị phá vỡ. Thay vào đó, kẻ tấn công lợi dụng lỗi logic trong cách mạng lưới xác thực các giao dịch peg. Công ty triển khai bản vá sớm và đến ngày 7/9 đã nhận lại khoảng 3.400 BTC, tương đương khoảng 85% số tiền bị đánh cắp. Liquid Network cũng tạm thời đình chỉ hoạt động trong giai đoạn thu hồi trước khi vận hành trở lại với chương trình sản xuất block đã được cập nhật. Đàm phán on-chain leo thang căng thẳng Trao đổi giữa Blockstream và nhóm đứng sau vụ việc diễn ra công khai thông qua các thông điệp OP_RETURN on-chain và các giao dịch Bitcoin được ký PGP. Ban đầu, kẻ tấn công tự nhận là "white hat" và yêu cầu Blockstream trả khoản thưởng 10% để hoàn trả toàn bộ số BTC bị lấy. Khi Blockstream không chấp thuận ngay, phía tấn công nâng mức đe dọa: nếu không hoàn tiền theo điều kiện của họ, những người nắm giữ BTC sẽ phải chịu tổn thất 15%. Blockstream coi toàn bộ vụ việc là hành vi trộm cắp và bác bỏ nhãn "white hat". Theo công ty, một "white hat" phải báo cáo lỗ hổng một cách có trách nhiệm và phối hợp với đội ngũ bị ảnh hưởng; không rút tiền trước rồi mới thương lượng sau. Blockstream cho biết đã làm việc với các cơ quan thực thi pháp luật và các chuyên gia pháp y để truy vết và thu hồi phần tài sản còn lại thông qua các kênh pháp lý. Bài toán tiền lệ Nếu chấp nhận yêu cầu, Blockstream sẽ phải chi khoảng 47 triệu USD. Sự cố này được xếp vào nhóm các vụ khai thác đơn lẻ lớn nhất trong thị trường crypto năm nay. Liquid Network ra mắt năm 2018, là sidechain Bitcoin theo mô hình liên minh (federated) nhằm tăng tốc độ thanh toán và hỗ trợ giao dịch bảo mật, chủ yếu phục vụ các sàn giao dịch và nhà giao dịch tổ chức. Mô hình federation vận hành dựa trên một liên danh các "functionaries" cùng quản lý cơ chế neo giữa Bitcoin và LBTC.