Blockstream weist 10%-Lösegeldforderung für 598,5 BTC aus Liquid-Exploit zurück
Wichtige Erkenntnisse
- •Blockstream lehnte die von der Gruppe geforderte Prämie von 10 % für die aus dem Liquid-Exploit verbliebenen rund 598,5 BTC ab und forderte die Akteure stattdessen auf, die Mittel freiwillig zurückzugeben.
- •Der Exploit vom 6. Sept. entzog der Federation-Wallet von Liquid etwa 4.000 BTC, die zu diesem Zeitpunkt rund 320 Millionen US-Dollar wert waren. Ursache waren ungültige L-BTC im Peg-out-System; Untersuchungen führten den Vorfall auf eine Software-Schwachstelle und nicht auf einen kompromittierten Autorisierungsschlüssel von SideSwap zurück.
- •Die Akteure bezeichneten sich zunächst als White-Hat-Hacker und gaben 3.400 BTC zurück, nachdem Blockstream Sicherheits-Patches für die betroffenen Bridge-Knoten bestätigt hatte. Etwa 598,5 BTC im Wert von rund 47 Millionen US-Dollar behielten sie ein.
- •Blockstream bezeichnete die unbefugte Entnahme und das Zurückhalten der Vermögenswerte als Verbrechen und nicht als verantwortungsvolle Offenlegung. Falls die Mittel nicht zurückgegeben werden, will das Unternehmen unter anderem Strafverfolgungsbehörden, Kryptowährungsbörsen, Dienstleister und Blockchain-Forensiker einschalten.
- •Liquid stoppte den Netzwerkbetrieb nach dem Exploit und unterliegt weiterhin Einschränkungen, während Entwickler und Mitglieder der Federation einen sicheren Neustart vorbereiten.
Blockstream hat eine Forderung nach einer Prämie von 10 % von der Gruppe zurückgewiesen, die weiterhin etwa 600 BTC aus dem Exploit des Liquid Network in der vergangenen Woche hält. Das Unternehmen erklärte, es werde nicht für die Rückholung der Bitcoin zahlen, und forderte die Akteure stattdessen auf, die Mittel freiwillig zurückzugeben.
Der Streit folgt auf einen Exploit am 6. Sept., bei dem etwa 4.000 BTC aus der Federation-Wallet von Liquid abgezogen wurden. Die gestohlenen Bitcoin waren zu diesem Zeitpunkt rund 320 Millionen US-Dollar wert. Liquid stoppte nach der Entdeckung des Vorfalls den Netzwerkbetrieb.
Blockstream weist Zahlungsforderung zurück
Die Akteure bezeichneten sich zunächst als White-Hat-Hacker. Sie gaben 3.400 BTC zurück, nachdem Blockstream bestätigt hatte, dass die betroffenen Bridge-Knoten Sicherheits-Patches erhalten hatten. Allerdings sind weiterhin etwa 598,5 BTC ausstehend. Nach den jüngsten Marktpreisen waren die verbliebenen Bitcoin rund 47 Millionen US-Dollar wert.
Die Gruppe forderte später von Blockstream eine Prämie von 10 % und warnte, dass Liquid-Nutzer einen Verlust von 15 % erleiden könnten, wenn der Streit nicht beigelegt werde. Blockstream wies den Vorschlag zurück.
„Das unbefugte Entnehmen von Vermögenswerten und das Zurückhalten ihrer Rückgabe ist ein Verbrechen und keine verantwortungsvolle Offenlegung“, erklärte Blockstream in einer Stellungnahme. Das Unternehmen fügte hinzu, dass es die verbliebenen Bitcoin als gestohlen und nicht als Gegenstand einer legitimen Bug-Bounty betrachte.
Bemühungen um Rückholung dauern an
Blockstream erklärte, das Unternehmen habe sich in gutem Glauben mit den Akteuren ausgetauscht und versucht, die Gelder der Nutzer zurückzuholen. Nun plant das Unternehmen, andere Wege zu verfolgen, falls die Bitcoin nicht zurückgegeben werden.
Dazu könnten Strafverfolgungsbehörden, Kryptowährungsbörsen, Dienstleister und Spezialisten für Blockchain-Forensik einbezogen werden. Ziel wäre es, die verbliebenen Bitcoin zu verfolgen und die Verantwortlichen zu identifizieren.
Der ursprüngliche Exploit betraf die Verarbeitung ungültiger L-BTC über das Peg-out-System von Liquid. Untersuchungen brachten den Vorfall mit einer Software-Schwachstelle und nicht mit einer Kompromittierung des Autorisierungsschlüssels von SideSwap in Verbindung.
Liquid setzte seine Sicherheitsarbeiten nach dem Exploit fort. Das Netzwerk unterliegt weiterhin Einschränkungen, während Entwickler und Mitglieder der Federation einen sicheren Neustart vorbereiten.
Der Streit verdeutlicht eine Sicherheitsherausforderung im Kryptowährungsbereich: Akteure können eine Schwachstelle ausnutzen, den Großteil der Gelder zurückgeben und anschließend eine Vergütung für die von ihnen einbehaltenen Vermögenswerte fordern. In diesem Fall hat Blockstream klargestellt, dass das Unternehmen die verbliebenen Bitcoin nicht als autorisierte Belohnung anerkennt.
Quelle: CryptoMeter
