Blockstream 拒絕支付預期獲得10%分成的駭客

Blockstream 表示不會向從其 Liquid 側鏈盜取資金的攻擊者支付費用。這項決定打破了加密貨幣領域的一個常見做法，即自稱白帽駭客的人可以保留他們所盜取的一部分資金。

Liquid 是 Blockstream 構建的一個網路，允許用戶鎖定 Bitcoin (BTC) 並獲得一種流動性更高的代幣作為回報。攻擊者在利用一個軟體漏洞後，於9月6日盜取了約4,000 BTC。

為什麼白帽駭客學會了期待分成

該漏洞使攻擊者能夠創建沒有真實 Bitcoin 支援的 Liquid 代幣，然後進行兌換。聯合簽名金鑰從未被洩露，這就是為什麼交易像往常一樣被清算。

在 Blockstream 修復軟體後，攻擊者歸還了3,400 BTC。隨後，他們要求獲得一次追溯性的漏洞賞金，並保留了598.5 BTC，按當前 Bitcoin 價格計算價值約4600萬美元。

這一要求遵循了一種模式。2022年，Nomad，一個損失1.9億美元的跨鏈橋，公開向駭客提供被盜資金的10%分成，以換取歸還剩餘部分。此後，其他項目也採取了類似安排。

Blockstream 表示白帽標籤不適用

Blockstream 表示，開源開發者不應該為遠高於他們自己網路投資的賠償買單。

未經授權拿走資產並扣留不歸還是一種犯罪，而不是負責任的揭露。這不是白帽行為。這是盜竊。

Ledger 的技術長 Charles Guillemet 幾天前就對白帽說法提出質疑。他認為，那些盜取跨鏈橋資金然後主動聯繫的行為不是在進行安全研究。

Blockstream 並不是第一個拒絕的人。2024年，Kraken 指責安全研究人員在盜取300萬美元後敲詐勒索，並自行設定歸還條件。

BeInCrypto 在9月7日報導稱，部分歸還後仍有近600 BTC未償還。這一缺口依然存在，Blockstream 尚未公開說明如果這些代幣未能歸還，誰來承擔損失。

目前，追回資金依賴於執法機構、交易所和針對身份不明行為者的區塊鏈取證。這一拒絕是否會持續，將影響下一批攻擊者的要求。