Blockstream zal niet betalen aan de aanvallers die de Liquid sidechain hebben leeggehaald. Daarmee verbreekt het bedrijf een crypto-gewoonte waarbij zogenaamde white hat-hackers vaak een deel van het gestolen bedrag mogen houden.
Liquid is een netwerk gebouwd door Blockstream. Gebruikers kunnen hun Bitcoin (BTC) vastzetten en krijgen daarvoor een gelijkwaardige token die sneller verplaatst kan worden. Aanvallers maakten op 6 september misbruik van een softwarefout en namen ongeveer 4.000 BTC mee.
Waarom white hat-hackers verwachten dat ze een deel mogen houden
Door de fout konden de aanvallers Liquid-tokens aanmaken die niet door echte Bitcoin werden ondersteund, en die tokens omwisselen. De federatiesleutels voor ondertekening zijn nooit gestolen. Daarom werd de transactie die Liquid leegtrok normaal verwerkt.
Na het dichten van de softwarefout door Blockstream, gaven ze 3.400 BTC terug. Daarna vroegen ze alsnog om een bug bounty. Ze hielden 598,5 BTC zelf, wat ongeveer $46 miljoen waard is bij de huidige Bitcoin koers.
Deze eis is inmiddels gangbaar. Bij Nomad, een brug die in 2022 $190 miljoen verloor, werd openbaar 10% van het gestolen bedrag aangeboden aan hackers die de rest terugstuurden. Andere projecten hebben dit voorbeeld daarna gevolgd.
Blockstream vindt dat het white hat-label niet klopt
Blockstream zei in een verklaring dat open-source ontwikkelaars geen beloningen moeten betalen die veel groter zijn dan hun eigen aandeel in een netwerk.
Zonder toestemming assets meenemen en deze niet teruggeven is een misdrijf, geen verantwoordelijke melding. Dit is geen white hat-actie. Het is diefstal.
Charles Guillemet, Chief Technology Officer van Ledger, trok het white hat-verhaal al eerder in twijfel. Volgens hem doen aanvallers die een brug leegtrekken en pas daarna contact zoeken, geen beveiligingsonderzoek.
Blockstream staat niet alleen in deze weigering. Kraken beschuldigde beveiligingsonderzoekers in 2024 van afpersing, nadat zij $3 miljoen meenamen en daarna zelf bepaalden wat het teruggeven mocht kosten.
BeInCrypto meldde op 7 september dat bijna 600 BTC nog steeds niet terug zijn. Dat tekort bestaat nog steeds. Blockstream heeft niet publiekelijk gezegd wie het verlies draagt als de coins niet terugkomen.
De kans op herstel ligt nu bij opsporingsdiensten, exchanges en on-chain forensisch onderzoek gericht op personen die nog niet zijn geïdentificeerd. Of de weigering standhoudt, zal bepalen wat de volgende aanvaller gaat eisen.
