Blockstream a refusé de payer une rançon pour environ 598,5 BTC qui restent sous le contrôle des acteurs derrière l'exploit du réseau Liquid, après que 3 400 BTC aient été restitués plus tôt cette semaine.
Blockstream a déclaré dans une publication sur X le 11 septembre que prendre des actifs sans autorisation et en retenir le retour équivalait à un vol, rejetant la description par les acteurs de leurs actions comme une divulgation responsable ou une activité de "white hat".
« Nous ne paierons pas de rançon pour la restitution de fonds volés », a déclaré l'entreprise. « Prendre des actifs sans autorisation et en retenir le retour est un crime, non une divulgation responsable. Ce n'est pas une activité de "white hat". C'est un vol. »
La déclaration fait suite à plusieurs jours de communication entre Blockstream et les acteurs non identifiés après que près de 4 000 BTC aient été retirés du portefeuille de la fédération de Liquid le 6 septembre.
Blockstream a déclaré s'être engagé de bonne foi avec les acteurs pour récupérer les fonds appartenant aux utilisateurs et protéger la communauté Bitcoin, mais a précisé que les discussions n'équivalaient pas à une acceptation du retrait ni des conditions exigées par la suite.
L'entreprise a soutenu que les développeurs de logiciels Bitcoin open-source ne devraient pas être contraints de payer une rançon qui excède leur participation économique à un projet après que quelqu'un ait exploité le code.
« Le Bitcoin est de la monnaie forte et ne peut être frappé sans coûts, le Bitcoin ne fait pas subir de pertes à ses utilisateurs pour payer une rançon », a déclaré Blockstream.
Le litige porte sur environ 598,5 BTC qui restent en suspens suite à la restitution de 3 400 BTC au portefeuille de la fédération de Liquid le 7 septembre. Le remboursement a récupéré environ 85 % du Bitcoin retiré lors de l'incident.
Le Bitcoin restant valait près de 47 millions de dollars lorsque le remboursement plus important a été effectué. Aucun accord publiquement divulgué n'avait autorisé les acteurs à conserver les coins comme prime.
Les acteurs s'étaient initialement décrits comme des "white hats" et avaient communiqué avec Blockstream par des messages intégrés dans les transactions Bitcoin. Avant de restituer les 3 400 BTC, ils ont demandé à l'entreprise de corriger la vulnérabilité et de s'assurer que chaque nœud affecté avait été patché.
Blockstream a ensuite confirmé par un message signé que ses nœuds de pont avaient été patchés et que les fonds pouvaient être retournés en toute sécurité.
Comme crypto.news l'avait précédemment rapporté, les acteurs avaient proposé de restituer la plupart des Bitcoins retirés une fois la vulnérabilité corrigée, sans s'engager à restituer la totalité du montant.
Des messages on-chain ultérieurs ont modifié les termes du litige. Les acteurs ont exigé que Blockstream paie une prime de 10 % avec ses propres fonds ou laisse les détenteurs de Liquid subir une perte, selon des messages publiés au fur et à mesure des négociations.
Blockstream a maintenant rejeté tout paiement lié à la restitution des coins restants.
L'incident du 6 septembre impliquait une vulnérabilité affectant Liquid, la sidechain Bitcoin développée par Blockstream. Près de 4 000 BTC ont quitté le portefeuille de la fédération, représentant la majeure partie du Bitcoin détenu dans la réserve à ce moment-là.
Un examen ultérieur de l'exploit du réseau Liquid a révélé que l'incident provenait d'une collision de clé de cache dans la logique de vérification des transactions confidentielles. Blockstream a déclaré que les clés de la fédération n'avaient pas été compromises.
Les acteurs ont utilisé la faille pour obtenir du Bitcoin de la réserve de la fédération avant de commencer un échange on-chain avec Blockstream. Liquid a interrompu la production de blocs pendant l'incident, tandis qu'il a été demandé aux exchanges de suspendre les dépôts et retraits de L-BTC.
Après que Blockstream ait patché les nœuds de pont affectés, les acteurs ont transféré 3 400 BTC à l'adresse de la fédération. Environ 598,5 BTC restaient à une adresse contrôlée par les acteurs.
La dernière déclaration de Blockstream établit une distinction entre son effort antérieur de négociation du retour et tout accord visant à récompenser les personnes responsables.
L'entreprise a déclaré que le paiement de la demande établirait un précédent où les développeurs open-source pourraient être contraints de financer d'importants paiements après des retraits non autorisés de systèmes utilisant leur logiciel.
Blockstream a informé la communauté Bitcoin qu'elle continuait à travailler pour les utilisateurs dont les fonds avaient été prélevés et a remercié les ingénieurs, cryptographes et chercheurs en sécurité qui ont aidé à identifier et à corriger les vulnérabilités dans les logiciels liés à Bitcoin.
L'entreprise a lié une partie de la pression de sécurité à laquelle sont confrontés les projets open-source aux avancées de l'intelligence artificielle, déclarant que des équipes à travers l'écosystème Bitcoin ont consacré du temps à la recherche et à la correction de faiblesses dans les produits et systèmes des uns et des autres.
Des problèmes de sécurité impliquant des logiciels Bitcoin ont refait surface ailleurs ces derniers mois. En août, les partisans de BTCPay Server ont soutenu une prime de récupération égale à 10 % des fonds récupérés après qu'un exploit ait exposé les identifiants macaroon d'administrateur de LND. Cette prime était plafonnée à 3 BTC si tous les actifs volés étaient récupérés.
Cet arrangement a fait suite à un exploit actif qui a incité BTCPay Server à demander aux opérateurs d'installer la version 2.4.2 ou d'arrêter les serveurs affectés jusqu'à ce qu'ils puissent se mettre à jour.
Les négociations n'ayant pas abouti à un retour complet, Blockstream a déclaré que les personnes contrôlant le Bitcoin restant ont encore la possibilité de le renvoyer et de revenir à ce que l'entreprise a appelé les principes standard des "white hats".
Si les fonds restent en suspens, l'entreprise a déclaré qu'elle prévoyait de collaborer avec les organismes d'application de la loi, les exchanges, les fournisseurs de services, les spécialistes en criminalistique et d'autres parties pour tracer le Bitcoin et identifier les responsables.
Les transactions Bitcoin laissent un enregistrement public on-chain, donnant aux enquêteurs une vue continue des mouvements depuis les adresses associées à l'incident, même si les coins sont ensuite divisés entre plusieurs portefeuilles.
Un processus de traçage similaire a été utilisé suite à d'autres vols majeurs de Bitcoin. Galaxy Research, par exemple, a découvert en août que 1 561 BTC étaient restés immobiles après que des chercheurs aient attribué 1 789,28 BTC de pertes à l'exploit de Coldcard. Les adresses d'attaquants identifiées ont été partagées avec les exchanges, les sociétés de conformité et les forces de l'ordre.
Blockstream a déclaré que la transparence du Bitcoin permettrait à la communauté et aux enquêteurs de continuer à suivre les preuves laissées par les transactions impliquant les fonds Liquid.
« Les transactions ne disparaissent pas, pas plus que les preuves qu'elles laissent derrière elles », a déclaré l'entreprise.
L'entreprise a maintenu qu'elle ne paierait ni pour la restitution de la propriété volée, ni ne cesserait de poursuivre le Bitcoin en suspens.
« Retournez le bitcoin », a déclaré Blockstream.
BTC