Blockstream refuse de payer le prix de rançon demandé – la question qui se pose est : qui paiera le manque à gagner de 47 millions de dollars ?

Le 11 septembre, Blockstream a publié une déclaration publique : elle refuse de payer le prix de réparation pour les bitcoins qui restent à payer après l’exploit sur son réseau Liquid Network. En tant que titre de journal, c’est une histoire simple : l’entreprise de infrastructure refuse de récompenser les voleurs. Mais la nuance dans cette déclaration est importante pour ceux qui possèdent des cryptomonnaies, car la plupart de l’argent avait déjà été remboursé. La partie qui détient le reste de l’argent ne se présente pas comme un voleur ; elle se présente plutôt comme un chercheur responsable, qui demande…Bénéfice de 10 %.

Voici le bilan tel qu’il est actuellement. La partie qui est derrière l’exploitation…3 400 BTC ont été retournés, puis environ 598,5 BTC ont été conservés.Il s’agit d’une somme d’environ 47 millions de dollars aux prix actuels, mais cela ne constitue qu’une sorte de récompense auto-donnée par la société. Blockstream affirme qu’elle ne paiera pas cette somme. « Prendre des actifs sans autorisation et ne pas les remettre en place est un crime, pas une divulgation responsable », écrit la société.Ce n’est pas une activité de type “white hat”.“C’est du vol.” Si les pièces ne sont pas restituées, Blockstream déclare qu’elle collaborera avec les forces de l’ordre, les banques et les experts en criminalistique pour retrouver ces pièces.

La dispute est réelle, mais pour un investisseur, l’aspect intéressant réside en dessous : il ne s’agit pas vraiment de payer un ravisseur. Il s’agit plutôt de savoir qui pourra remplir ce vide de près de six cent mille bitcoins dans une réseau dont chaque L-BTC est garantie par un bitcoin réel. Cette question reste non résolue… et c’est là le vrai enjeu.

Qu’est-ce qui s’est effectivement brisé, et pourquoi ce n’était pas le Bitcoin ?

Le hack n’était pas lié au Bitcoin lui-même. Le 6 septembre, environ…4 000 BTC – environ 95 % des ~4 200 BTC dans le portefeuille de la fédération.Le réseau de Liquid qui soutient le token L-BTC a été vidé de son capital. Ce qui est inhabituel, c’est que les clés de personne n’ont pas été volées. Le réseau Liquid est une chaîne secondaire gérée par Blockstream, utilisant le logiciel open-source Elements. Un consortium de environ 80 entreprises délègue la sécurité aux 15 « fonctionnaires » concernés, dont 11 doivent signer toute retraitation.

Le mécanisme était unErreur dans le code de validation d’Elements, en particulier une mémoire cache pour les “propositions de type intervalle”.Cela cache les montants des transactions. L’attaquant a placé des preuves identiques près des nœuds, jusqu’à ce que les nœuds les stockent. Ensuite, il a soumis des données invalides différentes qui pointent vers la même entrée de cache. Les nœuds ont considéré cela comme validé, permettant ainsi à l’attaquant de créer du L-BTC sans rien faire, et de le convertir en Bitcoin réel via SideSwap, un partenaire autorisé. La fédération a autorisé cette diffusion, car…Les modules de sécurité matérielle vérifient uniquement que le L-BTC brûlé correspond au Bitcoin qui est envoyé.— Ce n’est pas que le L-BTC lui-même était légitimement soutenu. Tous les 15 fonctionnaires utilisaient le même logiciel défectueux. Ainsi, le seuil de 11 sur 15 ne servait à rien.

C’est tout le message en une seule ligne : La sécurité du liquide repose sur une fédération qui vérifie la forme de retrait effectué, et non la vérité des actifs en jeu. L’attaquant a abandonné…Des messages sur la chaîne blockchain identifiés comme “whitehats”, négociés avec Blockstream à travers des messages chiffrés intégrés aux transactions Bitcoin.Seulement après que la correction a été appliquée, on peut retourner le matériau.

Le changement d’identité, et le précédent en jeu

Tout dépend de ce que l’argent retenu est appelé. Le comportement de l’attaquant – comportement “white-hat”, récompense convenue – constitue une affirmation concernant son identité. Si c’est vrai, il s’agit d’une personne qui doit recevoir 10 % des biens recouvrés. Si c’est faux, il s’agit de personnes qui détiennent des biens volés, sous la menace de ne jamais les rendre. Ce sont donc deux situations juridiques opposées, avec des conséquences différentes. Blockstream refuse donc d’accorder cette mise à niveau.

C’est pourquoi le langage utilisé par l’entreprise est très délibéré. Elle qualifie les comportements de vols, rejette la notion d’une “commission de 10 %” en tant que “précédent négatif pour le modèle open-source”, et prévient que payer une somme aussi élevée que celle indiquée serait un exemple à suivre pour tous les chercheurs futurs qui choisiraient de exploiter les données avant de facturer. En d’autres termes, cette refus n’est pas principalement lié aux 47 millions de dollars. C’est plutôt une déclaration juridique visant à transformer l’attaquant en criminel, afin que les services financiers ne puissent pas traiter les fonds, et que les autorités judiciaires aient des raisons de intervenir.

La tension réside dans le fait que refuser cette étiquette ne permet pas de récupérer les devises en question. L’effet pratique est donc un état de stand-off indéterminé : 598,5 BTC se trouve dans une portefeuille contrôlée par l’attaquant. La promesse fondamentale de Liquid – à savoir que chaque L-BTC peut être échangé contre des bitcoins à un prix identique – est donc compromise, jusqu’à ce que quelqu’un puisse combler ce vide.

Qui porte les 47 millions de dollars ?

C’est la question que les titres de presse ignorent, et c’est elle qui détermine la valeur de l’événement en question. Les détenteurs de L-BTC et les entreprises qui utilisent Liquid pour les transactions – les plateformes qui émettent des stablecoins et des actifs tokenisés sur le sidechain, y compris Tether avec son USDT – ont échangé des actifs soutenus par une réserve dont la valeur est tombée à environ cinq centimes de Bitcoin par token lors du pic, avant de se remettre sur pied.Un soutien implicite de ~86 % lorsque 3 400 BTC sont revenus..

Qui couvre les ~598,5 BTC restants n’est pas connu. Ni Blockstream ni la fédération n’ont indiqué si ce manque est compensé par l’opérateur, distribué entre les membres de la fédération, ou si cela se résume simplement à une perte qui ne sera pas remboursée lors des retraits en L-BTC. Cette clarté est la chose la plus importante à surveiller : un rétablissement du rapport de valeur avec l’opérateur qui prend en charge les pertes est considéré comme un événement positif ; tandis qu’un rapport de valeur qui reste silencieusement inférieur au ratio un pour un est considéré comme une transmission des bitcoins manquants aux détenteurs qui n’ont rien fait de mal.

La condition systémique qui sous-tend le sauvetage

Il existe un risque final qui va au-delà de Liquid. Le bug se trouvait dans Elements, le logiciel partagé que les autres chaînes de blocs utilisent. La correction est aussi bonne que les réseaux qui effectuent les mises à jour. Blockstream a exhorté les opérateurs à…Se déplacer vers la version corrigée.Mais les chaînes de sidechain qui n’ont pas été mises à jour peuvent également présenter le même défaut. Donc, cet événement n’est pas vraiment un vol isolé, mais plutôt une vérification de toute la structure fédérée. Le Bitcoin lui-même n’a jamais été en danger direct – sa sécurité ne dépend pas d’une structure fédérée. Mais chaque entreprise qui compte sur les mécanismes de règlement similaires à ceux de Liquid doit maintenant faire face à des problèmes que son marketing ne mentionne jamais.

L’histoire qui se trouve devant cette exposition est simple : une entreprise affronte un voleur. Mais l’exposition n’est pas si simple que ça… C’est une responsabilité non résolue qui se trouve dans un portefeuille, une dispute quant à savoir si la personne qui le détient doit recevoir une récompense ou des compensations. Il s’agit également d’une structure où la promesse fondamentale dépend de celui qui est prêt à émettre un chèque. La condition de résolution est concrète et vérifiable via n’importe quel explorateur de blocs : si ces 598,5 BTC retournent à Liquid et que la relation de parité reste intacte, l’incident sera résolu et le risque sera évalué. Si cela continue après l’escalade légale, les 47 millions de dollars n’étaient pas vraiment le coût réel – le coût, c’est la confiance dans la promesse qui se cache derrière tout cela.