Были переведены почти 4000 BTC за один раз, в OP_RETURN: "Мы

[greysonz]

Со вчерашнего дня разворачивается драма в которой задействованы 4000 биткоинов.
История такая: почти 4000 BTC были переведены с моста Liquid Network за один раз.  
Пометка отправителя: "Мы белые хакеры.  Свяжитесь с нами в блокчейне".
 TXID:
c103de95817b43f2df635ec6f35ff126ca26a7c6d20570c4b01866b2b3e69a19


За ночь стало известно, что это не "Белые хакеры".

Мне кажется, что изначально бло очевидно, что это не белые хакеры, ведь они никогда бы не подписали транзакцию в op_return так, поскольку такой крупный перевод в любом случае заметили бы ончейн‑аналитики, а белые хакеры всегда делятся в соцсетях информацией о своих победах над хакерами. В нашем случае эта подпись была наивной попыткой отвести подозрения.

Тем временем ситуация развивается: настоящие белые хакеры, связанные с Liquid утверждают, что вернут большую часть из 4000 BTC, как только будет устранена ошибка в сети Liquid. Между хакером и Blockstream в блокчейне завязался настоящий диалог:

Хакеры вели переговоры с Blockstream с помощью сообщений OP_RETURN и зашифрованного текста PGP.
- блок 965 822: адрес Blockstream отправил 1000 сатоши с текстом «Пожалуйста, свяжитесь с отделом безопасности по адресу blockstream dot com».
- блок 965 865: зашифрованное сообщение, адресованное владельцу ключа, с отдельной подписью PGP. Подпись проверена с помощью ключа, опубликованного по адресу blockstream.com/pgp.txt
- блок 965 869: в ответ хакер потратил средства на себя, но отправил 1000 сатоши на кошелёк федерации для привязки, сопроводив транзакцию текстом: «Отправляю большую часть обратно на [адрес федерации], вас это устраивает?»
- Блок 965 875: содержательный ответ. Ещё одна транзакция на себя, с отправкой 1000 сатоши на кошелёк федерации и опцией OP_RETURN: «Пожалуйста, сначала исправьте ошибку. На последнем коммите цепочка находится под угрозой. Убедитесь, что все узлы обновлены. После подтверждения исправления мы безопасно переведём деньги обратно».
Технические подробности приведены в виде PGP-сообщения, зашифрованного с помощью опубликованного ключа Blockstream, так что прочитать его может только Blockstream.

Прикольный способ общения  

[Alex077]

Да, тут истрия достаточно интересная...

То, что это похоже на белых хакеров говорит несколько деталей-- во первых довольно странно было бы держать практически все биткоины неподвижными после вывода, их всегда дробят и заметают следы, и потом публично связываться с Blockstream, требовать сначала устранить баг и обещать вернуть основную часть средств, тоже как то станно для обычного взлома.

Но тут еще интересная деталь заключается в том, что приватные ключи федерации, похоже, не были украдены. Деньги вышли через нормальный механизм peg-out SideSwap, а сам Peg-out Authorization Key, по заявлениям Liquid и SideSwap, также не был скомпрометирован
То есть хакеры, по сути, нашли возможность создать необеспеченные L-BTC, а затем обменяли их через совершенно легитимный механизм на настоящие биткоины из резерва. SideSwap утверждает, что именно такую причину установил Blockstream.
Это намного серьёзнее обычной кражи приватного ключа, потому что получается, что вся система сама считала операцию корректной.

Если биткоины вернут, финансовые последствия этого инцидента могут оказаться минимальными, но последствия для модели безопасности Liquid будут намного серьёзнее. Хакеры фактически продемонстрировали возможность одним действием вывести около 95% биткоинов из федерационного кошелька.

Ну и кроме того Blockstream - это Адам Бэк и тут чисто удар по репутации гораздо серьёзнее, чем обычный DeFi-взлом.
Бэк, как бы вообще не просто руководитель очередного криптопроекта. Он один из наиболее известных последователей биткоина, создатель Hashcash, а возглавляемая им Blockstream много лет позиционирует себя как компания, строящая серьёзную биткоин-инфраструктуру, ну соответственно требования к безопасности здесь совершенно другие... должны были быть...

[internetional]

Тем временем ситуация развивается: настоящие белые хакеры, связанные с Liquid утверждают, что вернут большую часть из 4000 BTC, как только будет устранена ошибка в сети Liquid.

Вот эта часть непонятна. Как белые хакеры, связанные с Liquid, могут вернуть 4000 BTC, если эти биткоины вывели с адреса моста вовсе не белые хакеры, причём вряд ли связанные с Liquid?

А вообще, это, конечно, очень поучительная история. После того как появился кошелёк Aqua, всё больше пользователей стали отказываться от собственных платёжных каналов Lightning и отправлять переводы в сети Lightning через "подводные свопы" с Liquid - то есть хранить биткоины в сети Liquid, а конвертировать в Lightning только для переводов. И вот результат

[greysonz]

Тем временем ситуация развивается: настоящие белые хакеры, связанные с Liquid утверждают, что вернут большую часть из 4000 BTC, как только будет устранена ошибка в сети Liquid.

Вот эта часть непонятна. Как белые хакеры, связанные с Liquid, могут вернуть 4000 BTC, если эти биткоины вывели с адреса моста вовсе не белые хакеры, причём вряд ли связанные с Liquid?

А вообще, это, конечно, очень поучительная история. После того как появился кошелёк Aqua, всё больше пользователей стали отказываться от собственных платёжных каналов Lightning и отправлять переводы в сети Lightning через "подводные свопы" с Liquid - то есть хранить биткоины в сети Liquid, а конвертировать в Lightning только для переводов. И вот результат

По итогу получается: что те, кто вывели, это те же, что и обещают вернуть. Вроде как они просто хотели устроить показательный пример, такую вот демонстрацию бага.

По последней информации хакеры вернули 85 процентов BTC. Почти 600 Биткоинов оставили себе как bounty?

[ArtEria]

Тем временем ситуация развивается: настоящие белые хакеры, связанные с Liquid утверждают, что вернут большую часть из 4000 BTC, как только будет устранена ошибка в сети Liquid.

Вот эта часть непонятна. Как белые хакеры, связанные с Liquid, могут вернуть 4000 BTC, если эти биткоины вывели с адреса моста вовсе не белые хакеры, причём вряд ли связанные с Liquid?

А вообще, это, конечно, очень поучительная история. После того как появился кошелёк Aqua, всё больше пользователей стали отказываться от собственных платёжных каналов Lightning и отправлять переводы в сети Lightning через "подводные свопы" с Liquid - то есть хранить биткоины в сети Liquid, а конвертировать в Lightning только для переводов. И вот результат

Удобство привело к повешению рисков, пользователей приучили не держать ликвидность непосредственно в Lightning, а полагаться на Liquid как на инфраструктурный слой. Итог таков что пользователь получает удобство Lightning, но принимает на себя дополнительный риск Liquid.

Кстати хакер оставил у себя 600 ВТС, как то многовато не думаете?
Это количество он тоже обговорил, или это его личное решение?

[tvplus006]

...Кстати хакер оставил у себя 600 ВТС, как то многовато не думаете?
Это количество он тоже обговорил, или это его личное решение?

Возможно, что возвращенная сумма не является окончательной и может быть изменена хакерами позднее. Bybit в свое время, когда их хакнули, предлагал 10% от похищенного, а здесь получается в полтора раза больше. Только существенная разница в том, что эти 10% от Bybit были законной наградой. И то, что хакеры вернули 85% похищенного, не превращает оставшиеся биткоины в легальные. Только после того, как Blockstream признает эти 600 BTC наградой за обнаруженную уязвимость, можно будет говорить о том, что эти биткоины были получены на законном основании. А до этого момента они будут продолжать считаться украденными.

[ArtEria]

Возможно, что возвращенная сумма не является окончательной и может быть изменена хакерами позднее. Bybit в свое время, когда их хакнули, предлагал 10% от похищенного, а здесь получается в полтора раза больше. Только существенная разница в том, что эти 10% от Bybit были законной наградой. И то, что хакеры вернули 85% похищенного, не превращает оставшиеся биткоины в легальные. Только после того, как Blockstream признает эти 600 BTC наградой за обнаруженную уязвимость, можно будет говорить о том, что эти биткоины были получены на законном основании. А до этого момента они будут продолжать считаться украденными.

Если Blockstream не примут такое количество в качестве вознаграждения, то и хакер не может считаться белым, его могут разыскивать как преступника, поэтому следовало бы сначала согласовать количество а потом возвращать биткоины.

[internetional]

Вряд ли стали бы возвращать до согласования. У федерации и Blockstream как её представителя не было никаких рычагов воздействия. Им пришлось бы согласиться на любое возмещение, потому что альтернативный вариант - это когда хакер остаётся с неликвидными биткоинами, а федерация - с огромным минусом.

Правда, можно заявить о том, что согласие было дано под давлением. А вымогательство - это дополнительное преступление.

Но для меня главное не это, а то, что перезапускать Liquid в форме сайдчейна - это всё равно безумие. Никто же не знает и не может знать, сколько ещё "фальшивых" (необеспеченных) LBTC лежат на адресах этой сети. 4000 фальшивых LBTC хакер сжёг, чтобы опустошить адрес моста в основной цепи. И по-моему, это говорит лишь о том, что он мог насоздавать сколько угодно таких LBTC. Размеры UTXO-то в этой сети конфиденциальны!

Я сейчас вижу для Liquid только один возможный сценарий. Объявить, что LBTC больше не обменивается на BTC через мост, и оставить эту сеть только как блокчейн для альтернативных токенов (таких как USDT), а не как сайдчейн Биткоина. А LBTC оставить только как токен для комиссий. Рыночная цена на него так или иначе установится.

[tvplus006]

...И то, что хакеры вернули 85% похищенного, не превращает оставшиеся биткоины в легальные. Только после того, как Blockstream признает эти 600 BTC наградой за обнаруженную уязвимость, можно будет говорить о том, что эти биткоины были получены на законном основании. А до этого момента они будут продолжать считаться украденными.

Blockstream на своей странице в X сделал заявление, согласно которому компания отказывается выплачивать выкуп за возврат украденных средств. Незаконное изъятие активов и удержание их возврата - является преступлением. Это не деятельность white-hat. Это кража.

Blockstream не станет участвовать в создании прецедента, согласно которому открытое программное обеспечение, разработанное на благо сообщества Bitcoin, должно подвергать своих разработчиков необходимости выплачивать выкуп, который значительно превышает их экономическое участие.

Обращение для тех, кто удерживает украденный биткоин: еще есть возможность разрешить это ответственно. Биткоин можно вернуть, и можно будет вернуться к стандартам принципов white-hat. Однако, если средства не будут возвращены, Blockstream будет сотрудничать с правоохранительными органами, биржами, поставщиками услуг, судебными экспертами и другими релевантными сторонами, чтобы отследить и вернуть активы, а также установить виновных.

[tvplus006]

Blockstream на своей странице в X сделал заявление, согласно которому компания отказывается выплачивать выкуп за возврат украденных средств. Незаконное изъятие активов и удержание их возврата - является преступлением. Это не деятельность white-hat. Это кража...

А вот протокол кроссчейн-ликвидности Symbiosis в подобной ситуации, вынужден предложить злоумышленнику вознаграждение в размере 20% от суммы возврата средств. И в случае, если они не будут возвращены, то будет предложено такое же 20%-ное вознаграждение любому, кто предоставит информацию, которая приведет к возврату средств.

[Lannakosa]

Blockstream на своей странице в X сделал заявление, согласно которому компания отказывается выплачивать выкуп за возврат украденных средств. Незаконное изъятие активов и удержание их возврата - является преступлением. Это не деятельность white-hat. Это кража...

А вот протокол кроссчейн-ликвидности Symbiosis в подобной ситуации, вынужден предложить злоумышленнику вознаграждение в размере 20% от суммы возврата средств. И в случае, если они не будут возвращены, то будет предложено такое же 20%-ное вознаграждение любому, кто предоставит информацию, которая приведет к возврату средств.

Получается что хакерам возможно вовсе не стоило начинать рассказ о белом хакере, а держать у себя все 4000 битков, тогда картина для Blockstream выглядела бы куда хуже и возможно они сами предложили бы часть от суммы. А так они уже получили большую часть, а за остаток будут бороться. Теперь со стороны хакера это в любом случае будет кражей, конечно если они не передумают и не вернут все битки.

[tvplus006]

Blockstream на своей странице в X сделал заявление, согласно которому компания отказывается выплачивать выкуп за возврат украденных средств. Незаконное изъятие активов и удержание их возврата - является преступлением. Это не деятельность white-hat. Это кража...

А вот протокол кроссчейн-ликвидности Symbiosis в подобной ситуации, вынужден предложить злоумышленнику вознаграждение в размере 20% от суммы возврата средств. И в случае, если они не будут возвращены, то будет предложено такое же 20%-ное вознаграждение любому, кто предоставит информацию, которая приведет к возврату средств.

Получается что хакерам возможно вовсе не стоило начинать рассказ о белом хакере, а держать у себя все 4000 битков, тогда картина для Blockstream выглядела бы куда хуже и возможно они сами предложили бы часть от суммы. А так они уже получили большую часть, а за остаток будут бороться. Теперь со стороны хакера это в любом случае будет кражей, конечно если они не передумают и не вернут все битки.

Если не будут возвращены BTC, то это в любом случае будет кражей. И то, что хакерами было возвращено 80% похищенного, несомненно снижает их силу в переговорном процессе. Сейчас же у Blockstream позиция стала значительно сильнее, т.к. основная часть BTC возвращена и уязвимость, указанная хакерами, устранена. Теперь можно и требовать возврат оставшихся 600 BTC.

[internetional]

Blockstream не станет участвовать в создании прецедента, согласно которому открытое программное обеспечение, разработанное на благо сообщества Bitcoin, должно подвергать своих разработчиков необходимости выплачивать выкуп, который значительно превышает их экономическое участие.

А откуда вообще появилась идея о том, что платить должен Blockstream? Когда я вносил биткоины в Liquid, я передавал их под контроль федерации, в расчёте на то, что при выводе федерация же мне их и вернёт. В федерации состоит много крупных и богатых криптовалютных компаний. Если они хотят выполнить обязательства передо мной, то они и должны раскошелиться. Если нет - убытки придётся принять мне.

Никто ведь не возлагал на Blockstream ответственность за убытки от взлома Core Lightning! Хотя это тоже их продукт.

[tvplus006]

А откуда вообще появилась идея о том, что платить должен Blockstream?..

Это следует из того, что Blockstream в одностороннем порядке выступила в качестве стороны в инциденте, участвуя в переговорах по возврату 4к BTC:

Хакеры вели переговоры с Blockstream с помощью сообщений OP_RETURN и зашифрованного текста PGP.
- блок 965 822: адрес Blockstream отправил 1000 сатоши с текстом «Пожалуйста, свяжитесь с отделом безопасности по адресу blockstream dot com».

9 сентября в блоке 966199 хакеры обращаясь к Blockstream писали, что "Вы ОБЯЗАНЫ выплатить 10% из собственных средств в качестве вознаграждения за обнаружение уязвимостей, иначе вы нанесете всем своим владельцам 15% убытков из-за вашей безответственности и скупости"

Позднее именно Blockstream сделал в своем аккаунте X от 11 сентября 2026 г. заявление, что Blockstream не будет платить выкуп за возврат украденных средств и намерена добиваться их возврата законными способами.

А вот, кто реально должен нести юридическую ответственность перед владельцами LBTC - это уже отдельный вопрос договорных отношений и структуры самой Федерации, которые мне неизвестны. Но там обязательно должен быть такой пункт, которым предусмотрена ответственность и способы покрытия убытков.

[Lannakosa]

Если не будут возвращены BTC, то это в любом случае будет кражей. И то, что хакерами было возвращено 80% похищенного, несомненно снижает их силу в переговорном процессе. Сейчас же у Blockstream позиция стала значительно сильнее, т.к. основная часть BTC возвращена и уязвимость, указанная хакерами, устранена. Теперь можно и требовать возврат оставшихся 600 BTC.

Если хакеры всё же решат оставить себе 600 биткоинов, что тоже возможно, потому что выявить уязвимость и вернуть все биткоины, с одной стороны было бы как-то несправедливо. Думаю что Blockstream могли бы предложить какую-то свою сумму, поторговаться и в итоге к чему-то сойтись, всё таки работа этих хакеров тоже чего-то стоит. Но с другой стороны, если они оставят себе 600 биткоинов, то с таким же успехом можно было оставить себе всю сумму и пытаться скрываться. Хотя жить всю жизнь и понимать, что тебя разыскивают, не каждый готов.