Što se točno dogodilo?
Dana 6. rujna došlo je do iskorištavanja ranjivosti u mreži Liquid Network, kojom upravlja tvrtka Blockstream. Liquid je takozvani sidechain nad Bitcoinom, gdje je L-BTC (Liquid Bitcoin) token koji bi trebao biti pokriven stvarnim bitcoinima u omjeru 1:1.
Prema opisu CryptoSlatea, greška je napadaču omogućila stvaranje otprilike 4.000 nepokrivenih L-BTC i, putem usluge SideSwap, izvlačenje približno 3.996 stvarnih BTC. Drugim riječima, napadač je proizveo tokene bez pokrića i zamijenio ih za stvarne bitcoine.
Nakon što je Blockstream primijenio ispravak na pogođene čvorove (nodes), dio sredstava se vratio.
Koliko se novca vratilo i koliko nedostaje?
Liquid je, prema The Defiantu, 8. rujna izvijestio da je napadač vratio 3.400 BTC te da je u tom trenutku ostajalo nepodmireno približno 598,5 BTC.
| Stavka | Količina BTC | Izvor |
|---|---|---|
| Procjena prvotno izvučenih sredstava | ~3.996 BTC | CryptoSlate |
| Vraćeno od strane napadača | 3.400 BTC | The Defiant, Incrypted |
| Preostaje nepodmireno | ~598,5 BTC | The Defiant, Decrypt |
Vrijednost preostalog iznosa se u pojedinim izvorima blago razlikuje ovisno o tečaju u trenutku pisanja: Decrypt navodi otprilike 47 milijuna dolara, CryptoSlate govori o otprilike 50 milijuna dolara. Riječ je o procjeni koja se mijenja s cijenom Bitcoina.
Što napadač zahtijeva?
Prema CryptoSlateu, napadač je, nakon što je vratio 3.400 BTC, zatražio „nagradu” (bounty) u visini od 10 %, koju bi Blockstream trebao platiti iz vlastitih sredstava. Ujedno je navodno upozorio da bi u protivnom imatelji mogli snositi gubitak u visini od otprilike 15 %.
Riječ je, dakle, o sporu oko toga treba li se za djelomično vraćanje ukradenih sredstava isplaćivati nagrada te tko bi je trebao podmiriti.
Kako je reagirao Blockstream?
Blockstream je 11. rujna u svojoj izjavi na mreži X naveo da otkupninu neće platiti. Tvrtka je, prema Incrypted i Decrypt, postupanje označila kao krađu, a ne kao odgovorno prijavljivanje ranjivosti.
U prijevodu smisla izjave (Incrypted): stjecanje imovine bez dopuštenja i odbijanje njezina povrata jest kazneno djelo, a ne responsible disclosure, i ne radi se o aktivnosti tipa white hat. Pojam „white hat” pritom označava sigurnosnog istraživača koji grešku prijavi i sredstva vrati, tipično u zamjenu za unaprijed dogovorenu nagradu.
Decrypt dodaje da će se, ako sredstva ne budu vraćena, Blockstream obratiti tijelima kaznenog progona.
Zašto je to važno?
Spor je primjer šire rasprave u kriptu: kako se industrija treba postaviti prema napadačima koji dio sredstava vrate, a za ostatak potražuju „nagradu”. Blockstream bira tvrdu liniju i cijelu stvar uokviruje kao krađu, a ne kao pregovaranje o bug bountyju.
Što ostaje neizvjesno?
Iz dostupnih izvora zasad ne proizlazi jesu li i kako podnesene kaznene prijave, je li napadač identificiran, niti hoće li doći do daljnjeg vraćanja sredstava. Također nije potvrđeno kakav bi točan gubitak eventualno pogodio imatelje L-BTC. To su točke koje je u sličnim slučajevima uputno pratiti.