„Liquid Network“ programišiai prabilo viešai: iš „Blockstream“ reikalauja 10 proc. atlygio

Programišiai, rugsėjo 6 d. iš „Blockstream“ tinklo „Liquid Network“ pasisavinę apie 320 mln. JAV dolerių vertės bitkoinų ↗ 0.72%, sugriežtino savo reikalavimus: šifruotas žinutes jie iškeitė į viešus atviro teksto ultimatumus bitkoinų blokų grandinėje ir reikalauja 10 proc. atlygio iš pačios įmonės lėšų.

Pažeidžiamumas

Blokų grandinės saugumo bendrovės „Chainalysis“ teigimu, atakos metu buvo pasinaudota verčių diapazono tikrinimo talpyklos klaida „Elements“ programinėje įrangoje, atvirojo kodo bazėje, kuria remiasi „Liquid“ šalutinė grandinė. Šis pažeidžiamumas leido užpuolikams sukurti nepadengtų L-BTC žetonų, kuriuos sistema pripažino galiojančiais, ir vėliau juos išsikeisti į tikrus bitkoinus per „SideSwap“ keitimo paslaugą. Kaip pranešė „Reuters“, viena transakcija buvo išgryninta apie 4 000 BTC, tai yra maždaug 95 proc. federacijos piniginės rezervų.reuters+3

Federacijos raktai nenukentėjo. „Liquid Network“ veikia pagal „11 iš 15“ kelių parašų modelį, ir pati ši sistema atsilaikė; klaida įvyko pirminėje validavimo programinėje įrangoje. „SideSwap“, kurios automatizuota sistema apdorojo lėšų išėmimą neatlikusi jokių sumos ar operacijų dažnumo patikrų, prisiėmė atsakomybę už tai, kad „Liquid“ lygmens klaida virto pagrindinės grandinės nuostoliu, ir grąžino federacijai savo maždaug 4 BTC komisinį mokestį.cryptobriefing+1

Dalinis grąžinimas ir aklavietė

Po to, kai „Blockstream“ ištaisė pažeidžiamumą ir atnaujino savo mazgus, užpuolikai grąžino 3 400 BTC, tačiau 598,5 BTC, vertų apie 47 mln. JAV dolerių, pasiliko sau kaip patys sau paskirtą atlygį. Iš pradžių abi pusės derėjosi naudodamos PGP šifruotas OP_RETURN žinutes bitkoinų blokų grandinėje. Tačiau derybos, panašu, pašlijo: programišiai atsiuntė dviejų simbolių atviro teksto žinutę „:(“, o vėliau pranešė, kad visi būsimi pranešimai bus nešifruojami.therecord+2

Savo viešame ultimatume jie apkaltino „Blockstream“ skyrus vos 1,5 mln. JAV dolerių 5 mlrd. JAV dolerių vertės turtui apsaugoti. „Privalote sumokėti 10 proc. iš savo lėšų kaip atlygį už klaidą, kitaip dėl savo neatsakingumo ir šykštumo sukelsite visiems savo turėtojams 15 proc. nuostolį“, – bitkoinų transakcijoje rašė užpuolikai. Šis 10 proc. reikalavimas rodo, kad jie yra pasirengę grąžinti dalį lėšų ir pasilikti apie 32 mln. JAV dolerių vietoj dabartinių 47 mln. JAV dolerių.gizmodo

Sektoriaus reakcija

Bandymas pateikti šį poelgį kaip „etinių programišių“ veiklą sulaukė griežtos kritikos. „Ledger“ technologijų vadovas Charlesas Guillemetas šį reikalavimą pavadino „grynu turto prievartavimu“ ir pabrėžė, kad atsakingas elgesys būtų reikalavęs privačiai susisiekti su „Blockstream“ saugumo komanda, kad tinklą būtų galima sustabdyti ir sutvarkyti dar prieš pervedant bet kokias lėšas. Vienas iš „Bitcoin Core“ kūrėjų Gregas Sandersas atmetė programišių skundus dėl „Blockstream“ išlaidų: „Apiplėšti prabangų banką, bandyti pasilikti dviženklį procentą ir kaltinti kitus godumu. Na, na, bičiuli“.gizmodo

„Blockstream“ išleido skubų „Elements v23.3.4“ pataisymą ir pranešė, kad funkciniai mazgai yra atnaujinami. Bendrovės atkūrimo plane numatyta atnaujinti blokų gamybą įšaldžius keitimo operacijas, iš naujo paleisti patvirtintas transakcijas, o atkūrus tinklo būseną – vėl paleisti keitimo procesus. Įmonė įspėjo, kad sukčiai jau apsimeta „Liquid“ atstovais, ir paragino vartotojus bet kokius netikėtus pranešimus, svetaines, siūlančias „atsiimti L-BTC“, bei prašymus pateikti atkūrimo frazes vertinti kaip sukčiavimą.gizmodo