Blockstream từ chối chi trả 10% mà các hacker mũ trắng thường mong đợi

Blockstream sẽ không trả tiền cho nhóm tấn công đã rút tiền khỏi sidechain Liquid của họ. Quyết định này khác với thói quen trong giới tiền mã hóa, thường cho phép những người tự nhận là white hat hacker giữ lại một phần số tiền đã lấy được.

Liquid là một mạng lưới do Blockstream phát triển, nơi người dùng có thể khóa Bitcoin (BTC) và nhận một token tương ứng để giao dịch nhanh hơn. Nhóm tấn công đã khai thác một lỗ hổng phần mềm vào ngày 06/09/2024, rút khoảng 4,000 BTC.

Tại sao white hat hacker nghĩ rằng họ xứng đáng nhận thưởng

Lỗ hổng giúp nhóm tấn công tạo ra token Liquid mà không cần có Bitcoin thật để bảo chứng, sau đó chuyển đổi ra ngoài. Các khóa ký của liên minh bảo mật không bị đánh cắp, vì vậy giao dịch rút tiền khỏi Liquid vẫn được xác nhận bình thường.

Sau đó, nhóm tấn công đã trả lại 3,400 BTC sau khi Blockstream vá lỗi phần mềm, rồi xin một khoản thưởng phát hiện lỗi (bug bounty) sau khi sự việc xảy ra. Nhóm này giữ lại 598.5 BTC, trị giá khoảng 46 triệu USD theo giá Bitcoin hiện tại.

Yêu cầu này không phải mới. Nomad – một cầu nối bị hack 190 triệu USD vào năm 2022 – đã công khai đề nghị trả 10% giá trị cho hacker để nhận lại phần còn lại. Kể từ đó, nhiều dự án khác cũng làm tương tự.

Blockstream cho rằng không thể gọi đây là white hat

Theo tuyên bố của Blockstream, các lập trình viên mã nguồn mở không thể trả các khoản thưởng quá lớn, vượt xa cả phần đóng góp của họ vào mạng lưới.

Lấy tài sản mà không có sự cho phép rồi không trả lại là hành vi phạm pháp, không phải báo cáo lỗ hổng có trách nhiệm. Đây không phải là hành động white hat mà là trộm cắp.

Charles Guillemet, Giám đốc Công nghệ của Ledger, đã đặt câu hỏi về việc gọi đây là white hat vài ngày trước. Ông cho rằng những người tấn công chiếm đoạt toàn bộ tiền rồi mới liên hệ, không thực sự làm công tác nghiên cứu bảo mật.

Blockstream không phải là đơn vị duy nhất từ chối trả tiền. Kraken từng tố cáo các chuyên gia an ninh mạng là tống tiền vào năm 2024 sau khi những người này lấy 3 triệu USD rồi tự ra giá để trả lại.

Theo BeInCrypto đưa tin ngày 07/09/2024, số tiền được trả lại vẫn còn thiếu gần 600 BTC. Khoảng trống này vẫn chưa được bù đắp và Blockstream cũng chưa công khai ai sẽ chịu thiệt hại nếu số coin này không quay lại.

Hiện tại, việc thu hồi tài sản phụ thuộc vào cơ quan thực thi pháp luật, sàn giao dịch, và các đơn vị chuyên phân tích chuỗi – nhưng vẫn chưa xác định được người thực hiện vụ tấn công này là ai. Việc Blockstream từ chối trả thưởng có thể sẽ ảnh hưởng đến yêu cầu của các nhóm tấn công tiếp theo.