Cosa è successo esattamente?
Il 6 settembre è stata sfruttata una vulnerabilità nella Liquid Network, gestita dalla società Blockstream. Liquid è una cosiddetta sidechain sopra Bitcoin, dove L-BTC (Liquid Bitcoin) è un token che dovrebbe essere coperto da bitcoin reali in rapporto 1:1.
Secondo la descrizione di CryptoSlate, la falla ha permesso all'attaccante di creare circa 4.000 L-BTC non coperti e, tramite il servizio SideSwap, di prelevare circa 3.996 BTC reali. In altre parole, l'attaccante si è fabbricato token senza copertura e li ha scambiati con bitcoin reali.
Dopo che Blockstream ha applicato la correzione ai nodi interessati (nodes), una parte dei fondi è stata restituita.
Quanti soldi sono stati restituiti e quanti mancano?
Secondo The Defiant, Liquid ha comunicato l'8 settembre che l'attaccante aveva restituito 3.400 BTC e che in quel momento restavano non rimborsati circa 598,5 BTC.
| Voce | Quantità BTC | Fonte |
|---|---|---|
| Stima dei fondi inizialmente prelevati | ~3.996 BTC | CryptoSlate |
| Restituiti dall'attaccante | 3.400 BTC | The Defiant, Incrypted |
| Rimanenti non rimborsati | ~598,5 BTC | The Defiant, Decrypt |
Il valore della somma rimanente varia leggermente tra le singole fonti a seconda del cambio al momento della stesura: Decrypt indica circa 47 milioni di dollari, CryptoSlate parla di circa 50 milioni di dollari. Si tratta di una stima che varia con il prezzo di Bitcoin.
Cosa richiede l'attaccante?
Secondo CryptoSlate, dopo aver restituito 3.400 BTC, l'attaccante ha chiesto una "ricompensa" (bounty) pari al 10%, che dovrebbe essere pagata da Blockstream con i propri fondi. Allo stesso tempo avrebbe avvertito che, in caso contrario, i detentori potrebbero subire una perdita di circa il 15%.
Si tratta quindi di una controversia su se, per la restituzione parziale dei fondi rubati, debba essere corrisposta una ricompensa e chi dovrebbe pagarla.
Come ha reagito Blockstream?
L'11 settembre Blockstream, nella sua dichiarazione sulla rete X, ha affermato che non pagherà il riscatto. Secondo Incrypted e Decrypt, l'azienda ha definito la condotta un furto, non una segnalazione responsabile della vulnerabilità.
Nella traduzione del senso della dichiarazione (Incrypted): ottenere asset senza autorizzazione e rifiutarsi di restituirli è un reato, non una responsible disclosure, e non si tratta di un'attività di tipo white hat. Il termine "white hat" indica un ricercatore di sicurezza che segnala una falla e restituisce i fondi, tipicamente in cambio di una ricompensa concordata in anticipo.
Decrypt aggiunge che, se i fondi non verranno restituiti, Blockstream intende rivolgersi alle autorità inquirenti.
Perché è importante?
La controversia è un esempio di un dibattito più ampio nel mondo cripto: come dovrebbe porsi il settore nei confronti degli attaccanti che restituiscono parte dei fondi e per il resto rivendicano una "ricompensa". Blockstream sceglie una linea dura e inquadra l'intera questione come un furto, non come una trattativa su un bug bounty.
Cosa resta incerto?
Dalle fonti disponibili non emerge finora se e come siano state presentate denunce penali, se l'attaccante sia identificato, né se ci sarà un'ulteriore restituzione dei fondi. Non è nemmeno confermata quale sarebbe l'esatta perdita che eventualmente ricadrebbe sui detentori di L-BTC. Questi sono i punti che, in casi simili, è opportuno monitorare.