Blockstream rechaza la comisión del 10 % que los hackers de sombrero blanco han aprendido a esperar
Blockstream no pagará a los atacantes que vaciaron su cadena lateral Liquid. La negativa rompe con la costumbre del sector cripto de permitir que los hackers que se autodenominan de sombrero blanco se queden con una parte de lo que robaron.
Liquid es una red creada por Blockstream en la que los usuarios bloquean Bitcoin (BTC) y reciben a cambio un token equivalente que se mueve más rápido. El 6 de septiembre, unos atacantes explotaron un fallo de software y se llevaron unos 4.000 BTC.
Por qué los hackers de sombrero blanco aprendieron a esperar una parte del botín
El fallo permitió a los atacantes crear tokens de Liquid sin respaldo de bitcoins reales y luego convertirlos. Nunca robaron las claves de firma de la federación, por eso la transacción que vació Liquid se procesó con normalidad.
Más tarde devolvieron 3.400 BTC cuando Blockstream corrigió el software y luego pidieron una recompensa retroactiva por el error. Se quedaron con 598,5 BTC, que valen unos 46 millones de dólares al precio actual de Bitcoin.
Esa exigencia sigue un guion conocido. Nomad, un puente que perdió 190 millones de dólares en 2022, ofreció públicamente a los hackers el 10 % del botín a cambio de que devolvieran el resto. Desde entonces, otros proyectos han imitado el acuerdo.
Blockstream afirma que no corresponde llamarles hackers de sombrero blanco
En su comunicado, Blockstream afirmó que los desarrolladores de código abierto no deberían financiar pagos muy superiores a su propia participación en una red.
Tomar activos sin autorización y retenerlos en lugar de devolverlos es un delito, no una divulgación responsable. No es una actividad de sombrero blanco. Es un robo.
El director de tecnología de Ledger, Charles Guillemet, cuestionó días antes la afirmación de que se trataba de hackers éticos. Argumentó que quienes vacían un puente y luego invitan a ponerse en contacto no están haciendo investigación de seguridad.
La empresa no es la única que se niega. En 2024, Kraken acusó de extorsión a unos investigadores de seguridad después de que se llevaran 3 millones de dólares y fijaran su propio precio para devolverlos.
BeInCrypto informó el 7 de septiembre que la devolución parcial aún dejaba pendientes casi 600 BTC. Esa brecha no se ha cerrado, y Blockstream no ha dicho públicamente quién asumirá la pérdida si las monedas nunca regresan.
La recuperación depende ahora de las fuerzas del orden, los exchanges y el análisis forense de la cadena, que buscan a actores cuya identidad nadie ha determinado. La postura que se adopte determinará qué pedirán los próximos atacantes.
Fuente: BeInCrypto