Co dokładnie się wydarzyło?
6 września doszło do wykorzystania podatności w sieci Liquid Network, którą prowadzi spółka Blockstream. Liquid to tak zwany sidechain nad Bitcoinem, gdzie L-BTC (Liquid Bitcoin) jest tokenem, który ma być zabezpieczony realnymi bitcoinami w stosunku 1:1.
Według opisu CryptoSlate błąd umożliwił napastnikowi utworzenie około 4 000 niezabezpieczonych L-BTC oraz wyprowadzenie przez usługę SideSwap w przybliżeniu 3 996 prawdziwych BTC. Innymi słowy, napastnik wytworzył tokeny bez pokrycia i wymienił je na realne bitcoiny.
Po tym, jak Blockstream wdrożył poprawkę na dotknięte węzły (nodes), część środków wróciła.
Ile pieniędzy wróciło, a ile brakuje?
Liquid, według The Defiant, poinformował 8 września, że napastnik zwrócił 3 400 BTC oraz że w tamtym momencie pozostawało niespłacone w przybliżeniu 598,5 BTC.
| Pozycja | Ilość BTC | Źródło |
|---|---|---|
| Szacunek pierwotnie wyprowadzonych środków | ~3 996 BTC | CryptoSlate |
| Zwrócone przez napastnika | 3 400 BTC | The Defiant, Incrypted |
| Pozostaje niespłacone | ~598,5 BTC | The Defiant, Decrypt |
Wartość pozostałej kwoty w poszczególnych źródłach nieco się różni w zależności od kursu w chwili pisania: Decrypt podaje mniej więcej 47 milionów dolarów, CryptoSlate mówi o mniej więcej 50 milionach dolarów. To szacunek, który zmienia się wraz z ceną Bitcoina.
Czego żąda napastnik?
Według CryptoSlate napastnik, po tym jak zwrócił 3 400 BTC, poprosił o "nagrodę" (bounty) w wysokości 10 %, którą miałby zapłacić Blockstream z własnych środków. Jednocześnie miał ostrzec, że w przeciwnym razie posiadacze mogliby ponieść stratę w wysokości mniej więcej 15 %.
Chodzi więc o spór o to, czy za częściowy zwrot skradzionych środków należy wypłacać nagrodę oraz kto powinien ją pokryć.
Jak zareagował Blockstream?
Blockstream 11 września w swoim oświadczeniu na platformie X podał, że okupu nie zapłaci. Firma, według Incrypted i Decrypt, określiła to postępowanie jako kradzież, a nie jako odpowiedzialne zgłoszenie podatności.
W przekładzie sensu oświadczenia (Incrypted): uzyskanie aktywów bez zezwolenia i odmowa ich zwrotu to przestępstwo, a nie responsible disclosure, i nie jest to działalność typu white hat. Pojęcie "white hat" oznacza przy tym badacza bezpieczeństwa, który zgłasza błąd i zwraca środki, zwykle w zamian za wcześniej ustaloną nagrodę.
Decrypt dodaje, że jeśli środki nie zostaną zwrócone, Blockstream zamierza zwrócić się do organów ścigania.
Dlaczego to ważne?
Spór jest przykładem szerszej debaty w kryptowalutach: jak branża ma odnosić się do napastników, którzy część środków zwracają, a za resztę roszczą sobie prawo do "nagrody". Blockstream wybiera twardą linię i przedstawia całą sprawę jako kradzież, a nie jako negocjacje w sprawie bug bounty.
Co pozostaje niepewne?
Z dostępnych źródeł na razie nie wynika, czy i w jaki sposób złożono zawiadomienia o przestępstwie, czy napastnik jest zidentyfikowany, ani czy dojdzie do dalszego zwrotu środków. Nie zostało również potwierdzone, jaka dokładna strata ewentualnie dotknęłaby posiadaczy L-BTC. To są punkty, które w podobnych przypadkach warto śledzić.