A Blockstream não pagará aos invasores que drenaram sua sidechain Liquid. A recusa rompe com o hábito do setor cripto de permitir que hackers que se autodeclaram white hats fiquem com uma parte do que roubaram.
Liquid é uma rede criada pela Blockstream na qual os usuários bloqueiam Bitcoin (BTC) e recebem um token equivalente, que pode ser movimentado com mais rapidez. Em 6 de setembro, invasores exploraram uma falha de software e levaram cerca de 4.000 BTC.
Por que hackers white hat aprenderam a esperar uma recompensa
A falha permitiu que os invasores criassem tokens Liquid sem lastro em Bitcoin real e depois os convertessem. As chaves de assinatura da federação nunca foram roubadas, por isso a transação que drenou a Liquid foi processada normalmente.
Mais tarde, eles devolveram 3.400 BTC, depois que a Blockstream corrigiu o software, e então pediram uma recompensa retroativa por encontrar a falha. Ficaram com 598,5 BTC, que valem cerca de US$ 46 milhões aos preços atuais do Bitcoin.
Esse pedido segue um roteiro conhecido. A Nomad, uma ponte que perdeu US$ 190 milhões em 2022, ofereceu publicamente aos hackers 10% do montante para que devolvessem o restante. Desde então, outros projetos copiaram esse acordo.
Blockstream diz que o rótulo white hat não se aplica
Em seu comunicado, a Blockstream afirmou que desenvolvedores de código aberto não deveriam financiar pagamentos muito maiores do que sua própria participação em uma rede.
Tomar ativos sem autorização e reter sua devolução é crime, não divulgação responsável. Isso não é atividade white hat. É roubo.
O diretor de tecnologia da Ledger, Charles Guillemet, questionou a alegação de que os invasores eram hackers éticos dias antes. Atacantes que esvaziam uma ponte e depois convidam as vítimas a entrar em contato não estão fazendo pesquisa de segurança, argumentou ele.
A empresa não é a única a se recusar. Em 2024, a Kraken acusou pesquisadores de segurança de extorsão depois que eles levaram US$ 3 milhões e estipularam o próprio preço para devolvê-los.
A BeInCrypto informou em 7 de setembro que a devolução parcial ainda deixou quase 600 BTC pendentes. Essa diferença não diminuiu, e a Blockstream não declarou publicamente quem arcará com o prejuízo caso as moedas nunca voltem.
A recuperação agora depende das autoridades policiais, das corretoras e da perícia em blockchain para identificar os responsáveis, que ainda são desconhecidos. A decisão de não pagar moldará o que o próximo atacante exigirá.
Fonte: BeInCrypto
