Blockstream, Liquid Network Saldırısından Kalan 598,5 Bitcoin (BTC) İçin Fidye Ödemeyi Reddetti

Blockstream fidye talebini reddetti

Blockstream, Liquid Network ihlalinin arkasındaki grupla arasına net bir çizgi çekti: saldırganların hâlâ elinde tuttuğu yaklaşık 598,5 Bitcoin (BTC) için fidye ölmeyi reddedeceklerini açıkça duyurdu. Şirket, 11 Eylül'de yayımladığı bir açıklamada, grubun hırsızlığı “sorumlu açıklama” (responsible disclosure) diye nitelemesini reddetti ve varlıkları yetkisiz biçimde alıp geri vermeyi tutmanın beyaz şapkalı (white-hat) faaliyet değil, bir suç olduğunu savundu. Blockstream, kullanıcı fonlarını geri kazanmak için sorumlularla iyi niyet çerçevesinde iletişim kurduğunu, ancak bu görüşmelerin çekilmenin ya da sonradan dayatılan koşulların kabulü anlamına hiçbir zaman gelmediğini vurguladı. Direnen ödülünün ödenmesinin, açık kaynak yazılım geliştiricilerinin bir projedeki ekonomik katılımlarını çok aşan fidyelere zorlanabildiği yıkıcı bir emsal yaratacağı argümanını ileri sürdü. Şirket, “Bitcoin sert paradır” (hard money) diyerek, orijinal proof-of-work varlığının maliyetsiz basılamayacağını ve kullanıcıların fidyeyi karşılamak için kırpılamayacağını anlattı. Kavganın odağında, çoğunluğun geri ödemesi bu hafta başında tamamlanmasına rağmen geri dönmeyen ve toplam geri ödeme tamamlandığında yaklaşık 47 milyon dolar değerinde olan 598,5 BTC'lik havuz var. Saldırganların madenileri ödül olarak almasına hiçbir kamuya açık anlaşma yetki vermedi. Dolaşımdaki her L-BTC tokeni, Liquid Federation'ın elindeki rezervlere karşı bire bir itfa edilebilecek bir wrapped Bitcoin talebi gibi çalışacak şekilde tasarlandı — teminatsız arz bu yüzden doğrudan yan zincirin (sidechain) güven modelini hedef alıyor. Blockstream sorumlu bir çözümün kapısını açık bıraktı ama kalan paralar iade edilmezse mevcut tüm yasal yollara başvuracağı konusunda uyardı; zaten Bitcoin'in herkese açık defteri her hareketi kayıt altına tutuyor — işlemler kaybolmaz, bıraktıkları delil de kaybolmaz.

Liquid istismarı nasıl gelişti

Olayın kökeni 6 Eylül'e uzanıyor: saldırganlar, Liquid'in — Blockstream'in hızlı takas ve Bitcoin DeFi işlemleri için kullandığı federasyon tabanlı yan zincirindeki — bir açığı suistimal etti. Zincir üstü analizler, grubun bu tokenleri desteklemesi gereken BTC teminatı olmadan yaklaşık 4 bin L-BTC bastığını, sahte talepleri SideSwap'in peg-out altyapısından geçirdiğini ve federasyon rezervlerinden neredeyse 4 bin gerçek BTC çektiğini gösteriyor. O sırada federasyon cüzdanında yaklaşık 4.200 BTC — kabaca 320 milyon dolar — bulunuyordu; yani tek bir işlem dizisiyle teminatın yüzde 95'i sifırlandı. Sonradan yayımlanan inceleme raporu, kök nedeni gizli işlem (confidential transaction) doğrulama mantığındaki bir önbellek anahtarı çakışmasına (cache-key collision) bağladı; federasyon anahtarlarının kendileri tehlikeye girmedi. Liquid olay sırasında blok üretimini durdurdu, borsalardan L-BTC para çekme ve yatırma işlemlerini askıya almaları istendi. Blockstream açığı yamayan Elements v23.3.4 sürümünü çıkardıktan ve imzalı bir mesajla köprü düğümlerinin güvende olduğunu teyit ettikten sonra, aktörler 7 Eylül'de federasyon adresine 3.400 BTC geri gönderdi — çalınan tutarın yaklaşık yüzde 85'i kurtarıldı. Geri kalan kısım saldırgan kontrolündeki bir adreste bekliyor. Başta işlemlere gömülü mesajlarla iletişim kuran beyaz şapkalı imajı çizen grup, şirkete açığı etkilenen her düğümde kapatmasını söyledi; sonra taleplerini yükseltti: ya Blockstream kendi kasasından yüzde 10'luk bir ödül ödeyecek ya da Liquid sahipleri zararla baş başa bırakılacak. Düzenli kurtarma güncellemeleri paylaşan eski Blockstream baş strateji sorumlusu Samson Mow, Liquid işlemlerinin yeniden normal şekilde işlediğini ancak iade edilmeyen paralar sürerken L-BTC'nin yalnızca yaklaşık yüzde 85 teminatlı olduğunu bildirdi. Bölüm, açık kaynak araçlarına yönelik daha geniş güvenlik baskısının ortasına düşüyor: Ağustos ayında BTCPay Server destekçileri, bir istismar LND yönetici macaroon kimlik bilgilerini ifşa ettikten sonra 3 BTC ile sınırlı bir kurtarma ödülü finanse etti ve araştırmacılar Coldcard istismarına bağlı 1.789,28 BTC'lik kaybın 1.561 BTC'sinin hâlâ kımıldamadığını bildirdi.

Zincir üstü iz mercek altında

Kayıtların bizim okumamız şu: şeffaflık araştırmacılara el kazandırıyor ama garanti vermiyor. Saldırgan işlemleri kalıcı olarak denetlenebilir durumda; inceleme raporu — federasyon anahtarlarına dokunulmadan Elements v23.3.4 ile giderilen önbellek anahtarı çakışması — adli uzmanların cüzdanlar arası bölünmeleri izlemesi için doğrulanmış bir referans noktası sunuyor. Yine de tespit edilen adreslerin tek başına başka vakalarda hızlı iade sağladığı pek görülmedi. COINOTAG olarak değerlendirmemiz, fidyenin reddinin açık kaynak geliştiricileri pahalı bir emsalden koruduğu yönünde; yaklaşık 598,5 BTC hâlâ izlenebilir durumdayken, direnen grup üzerindeki baskı yapısal nitelikte — ve haftanın en yakından takip edilen Bitcoin güvenliği vakası bu desteği arkasına alıyor.