Blockstream kommer inte att betala de angripare som tömde företagets Liquid-sidokedja. Vägran bryter mot en kryptovana där självutnämnda white hat-hackare får behålla en del av det de tog.
Liquid är ett nätverk som Blockstream har byggt, där användare låser Bitcoin (BTC) och får en motsvarande token som rör sig snabbare. Angripare utnyttjade en programvarubugg den 6 september och tog ungefär 4 000 BTC.
Varför white hat-hackare förväntar sig en andel
Felet lät angriparna skapa Liquid-tokens som ingen riktig Bitcoin backade upp, och sedan växlade de ut dem. Federationens signeringsnycklar blev aldrig stulna, därför gick transaktionen som tömde Liquid igenom som vanligt.
De lämnade tillbaka 3 400 BTC efter att Blockstream hade lappat programvaran, och bad då om en efterhands-buggbonus. De behöll 598,5 BTC, värt cirka 46 miljoner USD vid nuvarande Bitcoin-kurs.
Denna begäran följer ett mönster. Nomad, en brygga som förlorade 190 miljoner USD år 2022, erbjud själv hackare 10 % av bytet mot att resten skickades tillbaka. Fler projekt har använt samma lösning sedan dess.
Blockstream säger att white hat-beteckningen inte passar
Blockstream skrev i sitt uttalande att utvecklare av öppen källkod inte ska betala ut belöningar som är mycket större än deras egen andel i nätverket.
Att ta tillgångar utan tillstånd och inte lämna tillbaka dem är ett brott, inte ansvarsfull avslöjande. Det är inte white hat-aktivitet. Det är stöld.
Ledgers tekniske chef Charles Guillemet ifrågasatte white hat-anspråket några dagar tidigare. Han menar att angripare som tömmer en brygga och sedan vill bli kontaktade inte bedriver säkerhetsforskning.
Företaget är inte ensamt om att vägra. Kraken anklagade säkerhetsforskare för utpressning år 2024 efter att de tagit 3 miljoner USD och själva satte pris för att lämna tillbaka pengarna.
BeInCrypto skrev den 7 september att den delvisa återlämningen lämnade nästan 600 BTC kvar. Den luckan har inte stängts, och Blockstream har inte sagt offentligt vem som tar förlusten om mynten aldrig kommer tillbaka.
Nu hänger återställningen på rättsväsendet, börser och kedjeforensik som letar efter personer ingen har identifierat. Om vägran består kommer det att påverka vad nästa angripare begär.
