Blockstream wird den Angreifern, die seine Liquid-Sidechain geplündert haben, kein Geld zahlen. Mit dieser Weigerung bricht das Unternehmen mit einer Krypto-Gewohnheit: selbsternannte White-Hat-Hacker einen Teil ihrer Beute behalten zu lassen.
Liquid ist ein von Blockstream entwickeltes Netzwerk, in dem Nutzer Bitcoin (BTC) hinterlegen und dafür eine entsprechende Anzahl Token erhalten, die schneller transferiert werden können. Angreifer nutzten am 6. September eine Softwarelücke aus und erbeuteten rund 4.000 BTC.
Warum White-Hat-Hacker gelernt haben, einen Anteil zu erwarten
Die Lücke ermöglichte es den Angreifern, Liquid-Token zu erzeugen, denen keine echten Bitcoin gegenüberstanden, und diese anschließend aus dem Netzwerk abzuziehen. Die Signaturschlüssel der Föderation wurden nie gestohlen. Deshalb wurde die Transaktion, mit der Liquid geplündert wurde, regulär abgewickelt.
Nachdem Blockstream die Software aktualisiert hatte, gaben sie später 3.400 BTC zurück und forderten im Gegenzug eine nachträgliche Prämie für das Aufdecken der Sicherheitslücke. Sie behielten 598,5 BTC, die zum aktuellen Bitcoin-Kurs rund 46 Millionen US-Dollar wert sind.
Diese Forderung folgt einem bekannten Muster. Nomad, eine Bridge, bei der 2022 190 Millionen US-Dollar verloren gingen, bot Hackern öffentlich 10 % der Beute an, wenn sie den Rest zurückschickten. Seitdem haben andere Projekte dieses Vorgehen übernommen.
Blockstream sagt, die Bezeichnung White Hat passe hier nicht
Blockstream erklärte in seiner Stellungnahme, Open-Source-Entwickler sollten keine Auszahlungen finanzieren, die ihren eigenen Anteil an einem Netzwerk bei Weitem übersteigen.
Vermögenswerte ohne Genehmigung an sich zu nehmen und ihre Rückgabe zu verweigern, ist ein Verbrechen und keine verantwortungsvolle Offenlegung von Sicherheitslücken. Das ist keine White-Hat-Aktivität. Das ist Diebstahl.
Ledger-CTO Charles Guillemet stellte bereits einige Tage zuvor die Behauptung infrage, es handle sich um White-Hat-Hacker. Angreifer, die eine Bridge leerräumen und anschließend Kontakt anbieten, betreiben keine Sicherheitsforschung, argumentierte er.
Das Unternehmen ist nicht das einzige, das sich weigert. Kraken warf Sicherheitsforschern 2024 Erpressung vor, nachdem sie 3 Millionen Dollar an sich genommen und selbst einen Preis für die Rückgabe festgesetzt hatten.
BeInCrypto berichtete am 7. September, dass trotz der teilweisen Rückgabe noch fast 600 BTC ausstanden. Diese Lücke ist noch immer nicht geschlossen, und Blockstream hat nicht öffentlich erklärt, wer dafür aufkommt, falls die Coins nie zurückkehren.
Die Wiederbeschaffung liegt nun in den Händen der Strafverfolgungsbehörden, der Börsen und der Blockchain-Forensik – sie alle suchen nach Akteuren, die niemand identifiziert hat. Ob die Weigerung Bestand hat, wird prägen, was der nächste Angreifer fordert.
Quelle: BeInCrypto
