Blockstream parie 600 Bitcoin en rejetant la demande de rançon de 50 millions de dollars du hacker de Liquid

Blockstream refuse de payer au hacker de Liquid près de 600 Bitcoin (environ 50 millions de dollars), intensifiant un différend sur la manière dont l'industrie de la cryptographie devrait récompenser la restitution partielle.

Cette impasse fait suite à une récupération inhabituelle après l'exploitation du 6 septembre, lorsque une vulnérabilité a permis au hacker de créer environ 4 000 L-BTC non garantis et de retirer environ 3 996 BTC réels via SideSwap.

Le hacker a retourné 3 400 BTC après que Blockstream a corrigé les nœuds affectés, puis a exigé une rançon de 10 % payée à partir des propres fonds de Blockstream et a averti que les détenteurs pourraient autrement subir un manque à gagner d'environ 15 %.

Le tableau compile les messages on-chain attribués aux hackers de Liquid et à Blockstream, y compris les échanges et transactions signés PGP liés au retour de 3 400 BTC. Source : Galaxy Research

Le 11 septembre, Blockstream a rejeté la demande et a déclaré qu'elle poursuivrait les fonds restants par le biais des forces de l'ordre, des échanges, des prestataires de services et des spécialistes en criminalistique s'ils ne sont pas restitués volontairement.

Cette décision a ouvert un débat plus large sur la question de savoir si le refus de compenser un hacker qui a retourné environ 85 % du butin renforce la dissuasion ou donne au prochain hacker moins de raisons de retourner quoi que ce soit.

La rare récupération de Blockstream se transforme en lutte sur les incitations

Le retour de 3 400 BTC a déplacé le combat de la récupération des fonds volés à la définition de ce que vaut la coopération après une exploitation.

Lorenzo Romagnoli, co-fondateur de USDT0, a déclaré que Blockstream avait déjà obtenu un résultat que la plupart des protocoles de cryptographie piratés ne pouvaient qu'espérer. Il a soutenu qu'un hacker lié à la Corée du Nord ou à un autre groupe criminel engagé aurait peu d'incitation à renvoyer volontairement des centaines de millions de dollars.

Romagnoli a déclaré :

"Blockstream est déjà dans le 1 % des 1 % des protocoles piratés les plus chanceux sur la planète."

Il a dit que Blockstream conserve tous les droits d'identifier et de poursuivre le hacker, mais a averti que le refus d'une rançon substantielle pourrait changer les calculs des futurs hackers. Un hacker de chapeau gris qui pèse le retour de fonds volés pourrait voir peu d'avantages à coopérer si la restitution entraîne la même poursuite que le maintien de l'intégralité du butin.

Cet argument entre en collision avec la préoccupation de Blockstream selon laquelle le paiement créerait une incitation différente : permettre à un hacker d'exploiter une infrastructure open-source, de saisir des actifs d'utilisateurs et ensuite d'établir le prix pour les retourner.

Blockstream a déclaré qu'elle ne créerait pas de précédent dans lequel les développeurs de logiciels open-source pourraient être contraints de payer une demande qui "dépasse de loin leur participation économique." Elle a également rejeté la caractérisation du hacker en tant que chapeau blanc et a exhorté la partie à "retourner le Bitcoin."

Samson Mow, ancien directeur de la stratégie de Blockstream et directeur général de la société Bitcoin Jan3, a également contesté l'économie derrière la demande du hacker.

Le hacker avait critiqué Blockstream pour avoir prétendument dépensé trop peu pour protéger environ 5 milliards de dollars d'actifs émis à travers Liquid. Mow a déclaré que ce chiffre combine L-BTC, Tether et des actifs réels appartenant à différents émetteurs et détenteurs, rendant la valeur totale des actifs du réseau une base inappropriée pour déterminer une rançon.

Il a dit :

"Les montants de rançon ne peuvent pas être calculés sur la base de la valeur totale du réseau. Peu importe comment le reste est négocié, tous les actifs des utilisateurs doivent être retournés en totalité."

Les circonstances précédant le retrait ont également compliqué la revendication de chapeau blanc du hacker. SideSwap a déclaré que la partie avait passé des heures à répéter le modèle de transaction avant de créer le L-BTC non garanti, avec 70 transactions similaires précédant le succès de la frappe.

Le portefeuille utilisé pour initier l'attaque avait reçu un financement qui a été retracé à travers un pont inter-chaînes jusqu'à Tornado Cash. En vue de cela, SideSwap a qualifié l'événement d'"attaque délibérée et préparée", tout en ajoutant :

"Nous sommes solidaires de Blockstream. Le bitcoin a quitté la réserve Liquid par notre service de peg-out et nous avons donné à Blockstream tout ce que nous avons pour aider à le retracer et à le récupérer. Nos frais à ce sujet ont déjà été remboursés. Retournez le Bitcoin."

Le dernier 600 BTC peut être plus utile non dépensé

Avec la prime rejetée, les 598,5 BTC restants peuvent continuer à mettre la pression sur Liquid même si les pièces ne bougent jamais.

Le chercheur en bitcoin Alex Waltz a remis en question si l'attaquant s'attendait réellement à dépenser les pièces. Selon lui, le portefeuille est étroitement surveillé, et déplacer les BTC à travers des échanges, des dépositaires ou d'autres services identifiables pourrait fournir aux enquêteurs des pistes supplémentaires.

Cela crée un autre motif possible pour garder les fonds.

Waltz a déclaré que l'attaquant faisait effectivement face à deux choix après avoir retourné la plupart du butin : tout retourner et espérer que Blockstream fournisse une récompense généreuse, ou conserver une partie qui pourrait être difficile à dépenser mais qui peut continuer à infliger un coût économique à Liquid.

Il a ajouté :

"Si les hackers sont plutôt à l'aise financièrement, et avaient une bonne raison de détester Blockstream/Liquid, il semble que la seule façon pour eux de 'monétiser' cette situation est de garder les 600 BTC."

Il a également soulevé la possibilité que les enquêteurs puissent finalement obtenir des indices des services d'intelligence artificielle utilisés par l'attaquant si des modèles étaient accessibles via des comptes API identifiables, bien qu'aucune preuve n'ait émergé publiquement montrant que de tels services ont été utilisés.

La pression économique est déjà visible sur Liquid.

SideSwap a déclaré le 10 septembre que 4 205 L-BTC restaient en circulation tandis que la réserve de la fédération détenait 3 597 BTC, laissant environ 85 % de couverture de réserve après que le bitcoin retourné a été ajouté. Liquid a repris la production de blocs et les marchés de SideSwap ont rouvert, mais les peg-ins et peg-outs restent désactivés pendant que la fédération termine son examen de sécurité.

Le directeur général de Blockstream, Adam Back, a déclaré que le peg L-BTC à BTC sera finalement couvert un pour un et a exhorté les détenteurs à ne pas vendre à un prix réduit. Blockstream n'a pas encore détaillé comment il financera le trou d'environ 600 BTC si l'attaquant refuse de retourner les fonds, ni quand il reprendra les remboursements complets.

Pendant ce temps, SideSwap a déclaré qu'il maintiendrait son service de peg hors ligne jusqu'à ce que la fédération introduise une nouvelle architecture de sécurité et divulguera les changements avant de le rouvrir. Le chemin alternatif de Blockstream dépend maintenant de la traçabilité des BTC restants et de l'identification de celui qui les contrôle.

Jusqu'à ce que les pièces reviennent ou que le trou de réserve soit comblé par ailleurs, les marchés de Liquid peuvent à nouveau échanger tandis que sa promesse fondamentale de convertir L-BTC en Bitcoin reste suspendue.