Blockstream заявила, что не будет платить «выкуп» за возврат примерно 598,5 BTC стоимостью около $47 млн, которые остаются невозвращенными после эксплойта Liquid Network. Это решение положило конец нескольким дням переговоров с лицами, завладевшими средствами.

В воскресенье атакующие вывели из сайдчейна Liquid около 4 000 BTC, стоимость которых на тот момент составляла примерно $320 млн. В понедельник они вернули 3 400 BTC, или около 85% похищенной суммы. Оставшиеся 598,5 BTC по-прежнему находятся на адресе, на который их вывели, и не перемещались.

«Завладение активами без разрешения и удержание их вместо возврата — это преступление, а не ответственное раскрытие информации», — заявила Blockstream в пятницу. «Это не деятельность white hat. Это кража».

В публикации на X Blockstream обратилась к ответственным за кражу:

To those responsible for the theft of bitcoin from the Liquid Network: Blockstream will not pay a ransom for the return of stolen funds. Taking assets without authorization and withholding their return is a crime, not responsible disclosure. It is not white-hat activity. It is… — Blockstream (@Blockstream) September 11, 2026

https://x.com/Blockstream/status/2098281867908690394?ref_src=twsrc%5Etfw

Эксплойт стал возможен из-за уязвимости в способе кэширования узлами Liquid проверок range proof. Эта уязвимость позволила атакующим создавать необеспеченные L-BTC и обменивать их на резервные биткоины через SideSwap — участника федерации, у которого находился ключ авторизации peg-out. В результате резерв Liquid сократился до 197 BTC.

Blockstream устранила уязвимость в узлах моста в течение 10 часов и выпустила Elements v23.3.4 в среду. В четверг Liquid возобновила создание блоков и обработку транзакций, хотя peg-out остаются отключенными в качестве меры предосторожности, пока продолжается «заключительный этап восстановления». Peg-out — это механизм обмена L-BTC на биткоины, хранящиеся в резерве Liquid, поэтому их отключение предотвращает такую конвертацию на время восстановительных работ. Компания также предупредила, что мошенники атакуют операторов узлов с помощью поддельных сайтов обновлений.

В отчете об инциденте, опубликованном во вторник, Liquid назвала атакующих «white hat-хакером» и сообщила, что проект координирует с ним перезапуск сети. Blockstream заявила, что ее участие в этих обсуждениях «не следует воспринимать как согласие с предпринятыми действиями или с выдвинутыми условиями».

Требования стали публичными после транзакции в сети Bitcoin в среду. Эксплуататоры заявили, что Blockstream выделила «только $1.5M (может быть, даже 0) на обеспечение безопасности активов на $5B», назвав это «вопиющим пренебрежением к безопасности». Они потребовали 10%, «используя ваши собственные деньги в качестве bug bounty», и пригрозили, что «вы причините всем своим держателям убыток в размере 15% из-за своей безответственности и жадности».

Blockstream заявляет, что не будет создавать прецедент с выкупом

Blockstream заявила, что не станет «частью прецедента, при котором разработчики программного обеспечения с открытым исходным кодом, созданного на благо сообщества Bitcoin, должны платить выкуп, значительно превышающий их экономическое участие».

Компания также заявила, что не будет покрывать дефицит за счет средств пользователей. «Bitcoin — это твердые деньги, и его нельзя создавать без затрат», — заявила она. «Bitcoin не уменьшает средства пользователей, чтобы заплатить выкуп».

Если оставшиеся биткоины не будут возвращены, Blockstream намерена задействовать «все законные средства», сотрудничая с правоохранительными органами, биржами и специалистами по криминалистическому анализу. «Транзакции не исчезают, как и оставляемые ими доказательства», — предупредила компания и завершила заявление словами: «Верните биткоины».

Источник: Decrypt