Blockstream a mis fin aux négociations avec les attaquants de Liquid Network et ne paiera pas de rançon pour le retour des attaquants restants 598,5 BTC payer. L'entreprise a déclaré publiquement vendredi que cette action ne constituait pas une divulgation responsable mais simplement un vol. Le point de départ a été une sortie d'environ 4 000 BTC de la sidechain dimanche, dont les attaquants ont restitué 3 400 BTC lundi – comme coin-update.de l'a rapporté sur le statut intérimaire précédent. Les 598,5 BTC restants restent inchangés à l'adresse à laquelle ils ont été initialement retirés, selon les données en chaîne.
Chantage avec une annonce : 10 % ou 15 % de perte
Les attaquants avaient publiquement formulé leur demande dans une transaction Bitcoin : Blockstream devrait payer 10 pour cent de la valeur de ses propres ressources à titre de prime, sinon les détenteurs de liquidités subiraient une perte de 15 pour cent. Blockstream a rejeté ces conditions et a précisé que la participation aux discussions ne devait en aucun cas être comprise comme une acceptation des actions ou des demandes.
Techniquement, les attaquants ont exploité une vulnérabilité dans la façon dont les nœuds Liquid mettent en cache les vérifications de preuve de portée. Cela a permis de frapper du L-BTC découvert et de l'échanger contre du Bitcoin de réserve réel via SideSwap, un participant de la Fédération avec autorisation de retrait. La réserve est tombée à seulement 197 BTC.
Patch dans les dix heures, le réseau est à nouveau opérationnel
Blockstream a corrigé les nœuds de pont concernés dans les dix heures et a publié mercredi la version mise à jour Elements v23.3.4. Jeudi, Liquid a repris la production de blocs et le traitement des transactions, mais les ancrages restent désactivés par mesure de précaution pendant que la phase finale de reprise est en cours. Dans le même temps, l’équipe a mis en garde les opérateurs de nœuds contre les fraudeurs qui diffusent de fausses pages de mise à jour.
Des schémas similaires – arrêt du réseau après exploit, limitation ultérieure des dégâts – ont été récemment observés avec l’exploit Tectonic sur Cronos et avec l’arrêt temporaire du réseau sur Mantra Chain.
Pas de précédent, pas de charge pour les utilisateurs
Blockstream a justifié son rejet par une position fondamentale : ils ne voulaient pas créer un précédent dans lequel les développeurs de logiciels open source pour le bien commun de la communauté Bitcoin seraient obligés de payer des rançons qui allaient bien au-delà de leur participation économique. De même, l'écart ne sera pas comblé aux dépens des utilisateurs : le Bitcoin ne peut pas être frappé sans frais, et une « décote » pour les utilisateurs pour financer une rançon est hors de question, a déclaré la société dans son communiqué officiel sur X.
Que se passe-t-il ensuite
Si les 598,5 BTC restants ne sont pas restitués, Blockstream a l'intention de poursuivre toutes les voies légalement disponibles et de travailler avec les autorités chargées de l'application de la loi, les bourses et les spécialistes légistes pour ce faire. L'entreprise a souligné que les transactions et leurs traces associées ne disparaissent pas. Pour le moment, la somme concernée restera inchangée à l'adresse connue, tandis que Liquid fonctionnera en mode de redémarrage prudent avec les peg-outs désactivés.
😍👍😊🤑🎊🎉👏🔥🌟💪🚀💯👌❤️🙏🪙