Blockstream、10%のカットを期待したハッカーへの支払いを拒否

Blockstreamは、Liquidサイドチェーンから資金を盗んだ攻撃者に支払いを行わないと発表した。この決定は、自称ホワイトハットハッカーが盗んだものの一部を保持するという暗号通貨業界の一般的な慣行を打破するものである。

Blockstreamが構築したネットワークであるLiquidは、ユーザーがBitcoin (BTC)をロックし、その代わりに高速で移動するトークンを受け取ることを可能にする。攻撃者はソフトウェアの欠陥を悪用し、9月6日に約4,000 BTCを奪った。

ホワイトハットハッカーがカットを期待するようになった理由

この脆弱性により、攻撃者は実際のBitcoinに裏付けられていないLiquidトークンを作成し、その後変換することができた。Federationの署名鍵は決して侵害されておらず、そのため出金トランザクションは通常通り処理された。

Blockstreamがソフトウェアを修正した後、攻撃者は3,400 BTCを返還した。その後、彼らは遡及的なバグ報奨金を要求し、598.5 BTC（現在のBitcoin価格で約4,600万ドル相当）を保持した。

この要求はパターンに従っている。2022年、1億9,000万ドルを失ったブリッジNomadは、残りを返却する代わりにハッカーに盗まれた資金の10%を公開で提供した。その後、他のプロジェクトも同様の取り決めを採用している。

Blockstream、ホワイトハットのレッテルは当てはまらないと主張

Blockstreamは、オープンソース開発者はネットワークへの自らの投資よりもはるかに大きな支払いに資金を提供すべきではないと述べた。

許可なく資産を取得し、その返還を保留することは犯罪であり、責任ある開示ではありません。それはホワイトハット活動ではありません。それは窃盗です。

Ledgerの最高技術責任者Charles Guillemetは、数日前にホワイトハットの主張に疑問を呈していた。彼は、ブリッジから資金を引き出して連絡を招く攻撃者はセキュリティ研究を行っているわけではないと主張した。

Blockstreamが拒否した最初の例ではない。2024年、Krakenはセキュリティ研究者が300万ドルを奪い、返却条件を自ら設定した後、恐喝を行ったと非難した。

BeInCryptoは9月7日、部分的な返還後も約600 BTCが未払いのままであると報じた。そのギャップは残っており、Blockstreamはコインが戻ってこない場合に誰が損失をカバーするのか公には発表していない。

現在、回収は法執行機関、取引所、および身元不明のアクターを対象としたブロックチェーン鑑識に依存している。拒否が維持されるかどうかは、次の攻撃者が何を要求するかに影響を与えるだろう。