Blockstream từ chối trả tiền cho tin tặc mong đợi phần trăm 10%

Blockstream cho biết sẽ không trả tiền cho những kẻ tấn công đã đánh cắp tiền từ sidechain Liquid. Quyết định này phá vỡ thông lệ phổ biến trong lĩnh vực tiền điện tử, nơi những tin tặc tự xưng là mũ trắng giữ lại một phần số tiền chúng lấy.

Liquid, một mạng lưới do Blockstream xây dựng, cho phép người dùng khóa Bitcoin (BTC) và nhận lại một token có tốc độ di chuyển nhanh hơn. Những kẻ tấn công đã lấy khoảng 4.000 BTC vào ngày 6 tháng 9 sau khi khai thác một lỗ hổng phần mềm.

Tại sao tin tặc mũ trắng học cách mong đợi một phần chia

Lỗ hổng cho phép những kẻ tấn công tạo ra các token Liquid không được hỗ trợ bởi Bitcoin thực và sau đó chuyển đổi chúng. Các khóa ký của Federation chưa bao giờ bị xâm phạm, đó là lý do tại sao giao dịch rút tiền được xử lý như bình thường.

Sau khi Blockstream sửa phần mềm, những kẻ tấn công đã trả lại 3.400 BTC. Sau đó, chúng yêu cầu một khoản tiền thưởng lỗi hồi tố và giữ lại 598,5 BTC, trị giá khoảng 46 triệu USD theo giá Bitcoin hiện tại.

Yêu cầu đó theo một khuôn mẫu. Vào năm 2022, Nomad, một cầu nối mất 190 triệu USD, đã công khai đề nghị tin tặc một phần 10% số tiền bị đánh cắp để đổi lấy việc trả lại phần còn lại. Các dự án khác cũng đã áp dụng các thỏa thuận tương tự kể từ đó.

Blockstream nói rằng nhãn mũ trắng không phù hợp

Blockstream tuyên bố rằng các nhà phát triển mã nguồn mở không nên tài trợ cho các khoản thanh toán lớn hơn nhiều so với khoản đầu tư của chính họ vào một mạng lưới.

Lấy tài sản mà không được phép và giữ lại chúng là một tội ác, không phải là tiết lộ có trách nhiệm. Đó không phải là hoạt động mũ trắng. Đó là hành vi trộm cắp.

Charles Guillemet, Giám đốc Công nghệ tại Ledger, đã đặt câu hỏi về tuyên bố mũ trắng vài ngày trước đó. Ông lập luận rằng những kẻ tấn công rút tiền từ cầu nối và sau đó mời liên hệ không phải là đang thực hiện nghiên cứu bảo mật.

Blockstream không phải là người đầu tiên từ chối. Vào năm 2024, Kraken đã buộc tội các nhà nghiên cứu bảo mật tống tiền sau khi họ lấy 3 triệu USD và tự đặt ra các điều khoản trả lại.

BeInCrypto đưa tin vào ngày 7 tháng 9 rằng việc trả lại một phần vẫn còn gần 600 BTC chưa thanh toán. Khoảng cách đó vẫn còn, và Blockstream chưa công khai ai sẽ chịu tổn thất nếu số coin không được trả lại.

Việc thu hồi hiện phụ thuộc vào cơ quan thực thi pháp luật, các sàn giao dịch và điều tra chuỗi khối nhắm vào các tác nhân chưa xác định. Việc từ chối có được duy trì hay không sẽ ảnh hưởng đến yêu cầu của những kẻ tấn công tiếp theo.