Blockstream menegaskan tidak akan membayar para penyerang yang menguras Liquid sidechain miliknya. Penolakan ini mematahkan kebiasaan di dunia aset kripto di mana biasanya pelaku white hat hacker boleh menyimpan sebagian dari hasil aksinya.
Liquid merupakan jaringan buatan Blockstream di mana pengguna bisa mengunci Bitcoin (BTC) dan menerima token pengganti yang lebih cepat ditransaksikan. Penyerang memanfaatkan celah perangkat lunak pada 6 September dan berhasil membawa kabur sekitar 4.000 BTC.
Mengapa White Hat Hacker Biasa Mengharapkan Imbalan
Celah tersebut memungkinkan penyerang menciptakan token Liquid tanpa didukung Bitcoin sungguhan, lalu menukarnya keluar. Kunci tanda tangan federasi tidak pernah dicuri, sehingga transaksi yang menguras Liquid tetap berjalan normal.
Kemudian, mereka mengembalikan 3.400 BTC setelah Blockstream memperbaiki perangkat lunaknya, lalu meminta bug bounty secara retroaktif. Mereka mempertahankan 598,5 BTC, senilai sekitar US$46.000.000 pada harga Bitcoin saat ini.
Tuntutan seperti itu sudah jadi pola. Nomad, sebuah bridge yang kehilangan US$190.000.000 pada 2022, secara terbuka menawarkan 10% hasil rampokan kepada para hacker jika sisanya dikembalikan. Banyak proyek meniru cara tersebut sejak itu.
Blockstream Menilai Label White Hat Tidak Tepat
Dalam pernyataannya, Blockstream menyampaikan bahwa pengembang open-source semestinya tidak membayar kompensasi yang jauh lebih besar dari nilai yang mereka tanamkan sendiri di jaringan.
Mengambil aset tanpa izin dan menahannya agar dikembalikan itu adalah kejahatan, bukan pelaporan yang bertanggung jawab. Itu bukan aktivitas white-hat. Itu pencurian.
Chief Technology Officer Ledger, Charles Guillemet, mempertanyakan klaim white hat tersebut beberapa hari sebelumnya. Ia berpendapat bahwa penyerang yang mengosongkan sebuah bridge lalu meminta kontak bukanlah tindakan riset keamanan.
Blockstream tidak sendirian dalam penolakannya. Kraken menuduh peneliti keamanan melakukan pemerasan pada 2024 setelah mereka mengambil US$3.000.000 dan menetapkan sendiri harga pengembaliannya.
BeInCrypto melaporkan pada 7 September bahwa sebagian pengembalian tersebut masih menyisakan hampir 600 BTC yang belum kembali. Jumlah itu belum berubah, dan Blockstream pun tidak mengumumkan siapa yang harus menanggung kerugian jika koin tersebut tidak bisa dikembalikan.
Pemulihan kini bergantung pada aparat hukum, exchange, serta analisis forensik chain terhadap pelaku yang belum teridentifikasi. Keputusan untuk menolak memberi imbalan akan menentukan permintaan dari penyerang berikutnya di masa depan.
