Blockstream ne versera pas d’argent aux attaquants qui ont vidé sa sidechain Liquid. Ce refus rompt avec une habitude du secteur des cryptomonnaies, qui consiste à laisser les hackers se présentant comme des « white hats » garder une partie de ce qu’ils ont pris.
Liquid est un réseau créé par Blockstream sur lequel les utilisateurs immobilisent des bitcoins (BTC) et reçoivent en échange un jeton équivalent qui circule plus rapidement. Des attaquants ont exploité une faille logicielle le 6 septembre et dérobé environ 4 000 BTC.
Pourquoi les hackers « white hat » ont pris l’habitude de s’attendre à une récompense
La faille a permis aux attaquants de créer des jetons Liquid sans bitcoins réels pour les garantir, puis de les convertir. Les clés de signature de la fédération n’ont jamais été volées, ce qui explique pourquoi la transaction ayant vidé Liquid a été validée normalement.
Ils ont ensuite rendu 3 400 BTC après que Blockstream a corrigé le logiciel, puis ont demandé une prime rétroactive pour la découverte de la faille. Ils ont conservé 598,5 BTC, soit environ 46 millions de dollars au cours actuel du bitcoin.
Cette demande suit un scénario bien rodé. Nomad, un pont qui a perdu 190 millions de dollars en 2022, a publiquement proposé aux hackers 10 % du butin en échange du retour du reste. Depuis, d’autres projets ont repris cette formule.
Selon Blockstream, l’étiquette « white hat » ne s’applique pas
Dans son communiqué, Blockstream a déclaré que les développeurs open source ne devraient pas financer des versements bien supérieurs à leur propre participation à un réseau.
S’emparer d’actifs sans autorisation et refuser de les restituer est un crime, pas une divulgation responsable. Ce n’est pas une activité de « white hat ». C’est du vol.
Le directeur technique de Ledger, Charles Guillemet, avait remis en question la revendication de hacker éthique quelques jours plus tôt. Selon lui, des attaquants qui vident un pont puis invitent à les contacter ne font pas de recherche en sécurité.
L’entreprise n’est pas la seule à refuser. En 2024, Kraken a accusé des chercheurs en sécurité d’extorsion après qu’ils ont pris 3 millions de dollars et fixé eux-mêmes le prix à payer pour les restituer.
BeInCrypto a rapporté le 7 septembre que ce retour partiel laissait encore près de 600 BTC en suspens. L’écart ne s’est pas résorbé, et Blockstream n’a pas indiqué publiquement qui en supporterait la perte si les fonds ne revenaient jamais.
Le recouvrement repose désormais sur les forces de l’ordre, les plateformes d’échange et l’analyse forensique de la blockchain, qui tentent de retrouver des acteurs dont l’identité reste inconnue. La décision de maintenir ce refus déterminera ce que réclamera le prochain attaquant.
Source : BeInCrypto
