Blockstreamは、自社のLiquidサイドチェーンから資産を流出させた攻撃者への報酬支払いを拒否した。この決定は、自称ホワイトハットハッカーに奪取資産の一部を残す慣例を打ち破るもの。
Liquidは、Blockstreamが開発したネットワークで、利用者がビットコイン（BTC）をロックし、その分に対応する高速なトークンを受け取る仕組み。攻撃者は9月6日にソフトウェアの脆弱性を突き、約4000BTCを流出させた。
ホワイトハットが報酬を期待するに至った経緯
この脆弱性により、攻撃者は実際のビットコインに裏付けされていないLiquidトークンを作成・換金できた。連邦署名鍵は奪取されておらず、そのためLiquid流出取引は正常に承認された。
その後、Blockstreamがソフトウェアを修正すると、攻撃者は3400BTCを返還し、遡及的なバグ報奨金を要求。約598.5BTC、現在価格で約4600万ドル相当を保持している。現時点のビットコイン価格に基づく額。
こうした要求は、既定路線となりつつある。2022年に1億9000万ドルを失ったブリッジNomadは、攻撃者に対し資産返還を条件に10%の報奨金を公開提案。他プロジェクトも同様の対応を取ってきた。
Blockstream「ホワイトハットの名は当てはまらない」
Blockstreamは声明で、オープンソース開発者がネットワークへの自らの持分を超える過大な払戻し資金を拠出すべきでないと主張した。
無断で資産を持ち去り、その返還を留保する行為は犯罪であり、責任ある脆弱性開示ではない。ホワイトハット的行為ではなく、窃盗である。
Ledgerのシャルル・ギヨメCTOも数日前、ホワイトハットの主張に疑問を呈した。同氏は、ブリッジから資産を抜き、その後コンタクトを呼びかける行為は、セキュリティ研究ではないと指摘した。
拒否の動きは同社だけではない。Krakenは2024年、300万ドルを引き出したセキュリティ研究者が返還条件を設定した件について、恐喝だと非難した。
BeInCryptoは9月7日、部分返還後も約600BTCが未返却であると報じている。このギャップは埋まっておらず、もし全額が戻らなければ誰が損失をかぶるのかBlockstreamは明らかにしていない。
今後の回収は、未特定の関係者に対する法執行機関や取引所、ブロックチェーン分析に委ねられる。Blockstreamの拒否判断が維持されるかどうかは、次の攻撃者が何を要求するかに影響し得る。
