Blockstream wijst bounty-eis van 10% voor 598,5 BTC uit Liquid-exploit af
Belangrijkste punten
- •Blockstream weigerde een bounty van 10% te betalen die werd geëist door de groep die ongeveer 598,5 BTC uit de Liquid-exploit vasthoudt, en drong er in plaats daarvan bij de actoren op aan de middelen vrijwillig terug te geven.
- •De exploit van 6 september haalde ongeveer 4.000 BTC weg, destijds ter waarde van circa $320 miljoen, via de verwerking van ongeldige L-BTC door het peg-out-systeem van Liquid. Onderzoekers schrijven het incident toe aan een softwarekwetsbaarheid en niet aan een gecompromitteerde autorisatiesleutel van SideSwap.
- •De actoren beweerden aanvankelijk white-hat-hackers te zijn en gaven 3.400 BTC terug nadat Blockstream beveiligingspatches op de getroffen bridge-nodes had bevestigd. Ongeveer 598,5 BTC, ter waarde van bijna $47 miljoen, hielden zij achter.
- •Blockstream bestempelde het zonder toestemming meenemen en achterhouden van activa als een misdrijf en niet als verantwoorde openbaarmaking. Als de middelen niet worden teruggegeven, wil het bedrijf mogelijk opsporingsdiensten, cryptovalutabeurzen, dienstverleners en blockchainforensische experts inschakelen.
- •Liquid legde de netwerkactiviteiten stil na de exploit en blijft onderworpen aan beperkingen terwijl ontwikkelaars en federatieleden een veilige herstart voorbereiden.
Blockstream heeft een bounty-eis van 10% afgewezen van de groep die nog ongeveer 600 BTC in handen heeft na de exploit van vorige week van het Liquid Network. Het bedrijf zei niet te zullen betalen om de Bitcoin terug te krijgen en drong er in plaats daarvan bij de actoren op aan de middelen vrijwillig terug te geven.
Het geschil volgt op een exploit van 6 september waarbij ongeveer 4.000 BTC uit de federatiewallet van Liquid werd gehaald. De gestolen Bitcoin was destijds ongeveer $320 miljoen waard. Liquid legde de netwerkactiviteiten stil nadat het incident was ontdekt.
Blockstream wijst betalingseis af
De actoren identificeerden zichzelf aanvankelijk als white-hat-hackers. Ze gaven 3.400 BTC terug nadat Blockstream had bevestigd dat de getroffen bridge-nodes beveiligingspatches hadden ontvangen. Er staat echter nog ongeveer 598,5 BTC open. Tegen recente marktprijzen was de resterende Bitcoin ongeveer $47 miljoen waard.
De groep eiste later een bounty van 10% van Blockstream en waarschuwde dat Liquid-gebruikers een verlies van 15% konden lijden als het geschil niet werd opgelost. Blockstream wees het voorstel af.
“Het zonder toestemming meenemen van activa en het achterhouden van de teruggave ervan is een misdrijf, geen verantwoorde openbaarmaking”, zei Blockstream in een verklaring. Het bedrijf voegde eraan toe dat het de resterende Bitcoin beschouwt als gestolen en niet als middelen die in aanmerking komen voor een legitieme bug bounty.
Pogingen tot terugvordering gaan door
Blockstream zei dat het te goeder trouw contact had onderhouden met de actoren terwijl het probeerde gebruikersmiddelen terug te krijgen. Het bedrijf is nu van plan andere mogelijkheden te benutten als de Bitcoin niet wordt teruggegeven.
Bij die inspanningen kunnen opsporingsdiensten, cryptovalutabeurzen, dienstverleners en blockchainforensische experts worden betrokken. Hun doel zou zijn de resterende Bitcoin te traceren en de verantwoordelijken te identificeren.
Bij de oorspronkelijke exploit werd ongeldige L-BTC verwerkt via het peg-out-systeem van Liquid. Onderzoeken brachten het incident in verband met een softwarekwetsbaarheid en niet met een compromittering van de autorisatiesleutel van SideSwap.
Liquid heeft zijn beveiligingswerk na de exploit voortgezet. Het netwerk blijft ook onderworpen aan beperkingen terwijl ontwikkelaars en federatieleden een veilige herstart voorbereiden.
Het geschil illustreert een beveiligingsuitdaging in de cryptovalutasector: actoren kunnen een kwetsbaarheid misbruiken, het grootste deel van de middelen teruggeven en vervolgens compensatie eisen voor de activa die zij achterhouden. In dit geval heeft Blockstream duidelijk gemaakt dat het de resterende Bitcoin niet erkent als een geautoriseerde beloning.
Bron: CryptoMeter
