Blockstream отримала ультиматум: заплатіть «винагороду за баг» — або власники активів на Liquid втратять більше. У четвер компанія відповіла коротко: жодного сатоші.
Історія почалася 6 вересня, коли хтось знайшов вразливість в Elements — коді, на якому працює Liquid, біткоїн-сайдчейн Blockstream для бірж і емітентів стейблкоїнів на кшталт Tether. Зловмисник створив близько 4000 непокритих L-BTC — токенів без реального біткоїна за ними — і обміняв їх на справжні BTC через SideSwap, учасника федерації з правом виведення коштів. На той момент це коштувало близько $320 млн.
Наступного дня, 7 вересня, атакуючий несподівано повернув близько 3400 BTC із записом у блокчейні: спочатку полагодьте баг, потім отримаєте решту. Blockstream залатала вразливість за кілька днів і 10 вересня відновила виробництво блоків, хоча введення й виведення коштів у мережі досі заморожені.
598,5 BTC — близько $47 млн — так і не повернулися. Натомість зловмисник виставив рахунок: 10% від викраденого як «винагорода за баг», інакше власникам токенів загрожує втрата 15% вартості. Blockstream не прийняла таке пояснення: «Ми не платитимемо викуп за повернення вкрадених коштів. Утримання чужих активів — це злочин, а не відповідальне розкриття», — заявила компанія, пообіцявши залучити правоохоронців, біржі та криміналістів для пошуку коштів.
Контраст із минулими зламами впадає в очі. Коли Poly Network втратила $610 млн у 2021 році, хакер повернув майже все добровільно і навіть отримав пропозицію стати радником протоколу з безпеки — без жодних погроз. Тут ролі помінялися: зловмисник сам призначив собі винагороду й пригрозив наслідками, якщо її не виплатять. Те, чим це закінчиться, важливо не лише для Liquid — якщо Blockstream поступиться, наступний злам сайдчейну майже напевно прийде з тим самим рахунком.
