Апетит приходить під час їжі. Ви думали, що справа вже закрита? Хакер Blockstream отримав 598,5 BTC як винагороду за зламування Liquid Network три дні тому. Відтоді він переглянув своє бачення справедливої компенсації. Нове повідомлення в блокчейні від 9 вересня змінює тон. Кінець тихим переговорам через OP_RETURN між джентльменами. Атакуючий тепер вимагає виплати 10% безпосередньо з казначейства Blockstream, погрожуючи збитками в 15% для власників L-BTC. Додатково він попереджає, що має намір опублікувати ключ, який розшифровує їхні приватні обміни.
Ключові моменти цієї статті:
- Хакер Blockstream отримав 598,5 BTC після використання вразливості Liquid Network, але згодом вимагав додаткову виплату у розмірі 10% від казначейства Blockstream.
- Blockstream швидко виправив помилку, повернувши 3 400 BTC федерації, але хакер погрожує опублікувати приватну інформацію, якщо його нові вимоги не будуть задоволені.
Liquid Network: швидке, але не остаточне пограбування
Повернімося назад. 6 вересня атакуючий використав вразливість програмного забезпечення Elements, технічну основу Liquid Network — федеративної сайдчейн-мережі Bitcoin, керованої Blockstream. Помилка ховалася в кеші перевірки доказів суми (range proofs). Недійсні докази проходили як вже перевірені, що дозволило емітувати приблизно 4 000 синтетичних BTC без жодних гарантій. Загальна сума збитків — близько 320 мільйонів доларів.
Атакуючий негайно представився як whitehat, дослідник безпеки, який виявив вразливість, щоб повідомити про неї, а не збагатитися. Blockstream випустив патч для помилки та публічно підтвердив, що повернення коштів більше не становить ризику. У понеділок, 7 вересня, 3 400 BTC були повернуті федерації, що становить близько 272 мільйонів доларів, 85% здобичі. Хакер залишив собі 598,5 BTC, або приблизно 47 мільйонів доларів, як винагороду. Liquid Network тим часом залишається на паузі: вузли мосту були вимкнені, і дата відновлення роботи не оголошена.
Bug bounty у 10%: хакер Liquid Network показав зуби
Історія могла б на цьому закінчитися. Але вона не закінчується. 9 вересня в блокчейні з’явилося нове повідомлення, цього разу без натяків. Атакуючий звинуватив Blockstream у тому, що компанія виділила лише «1,5 мільйона доларів, можливо, навіть нуль» на забезпечення безпеки активів на суму 5 мільярдів доларів, назвавши це «кричущим недбальством» і «повним невіглаством». Його вимога не залишає місця для двозначності. Blockstream повинен виплатити 10% bug bounty з власних коштів, інакше власники L-BTC зазнають збитків у 15%. Він також додав, що опублікує ключ, який дозволить розшифрувати їхні минулі розмови, якщо компанія не виконає вимогу.
Два спеціалізовані ЗМІ задокументували цей новий епізод 9 вересня. PANews опублікували повідомлення о 12:52 UTC. Bitcoin.com News надали майже ідентичну цитату пізніше вранці. Blockstream поки що не дав жодної публічної відповіді на цю нову вимогу.
Нове повідомлення в блокчейні від хакера, опубліковане 9 вересня. Знімок екрана з X від @PreRichBear.
«Ваше недбальство є кричущим: ви виділили лише 1,5 мільйона доларів (або навіть нуль) на забезпечення безпеки активів на суму 5 мільярдів доларів. Це явне нехтування обов’язками та ознака цілковитого невігластва. Ви ПОВИННІ виплатити 10% з власної кишені як bug bounty, інакше ви змусите 15% втрат для всіх ваших власників через вашу безвідповідальність та жадібність. Навіть компанії, які беруть участь у програмах bug bounty, не можуть гарантувати повну безпеку, тим паче ви, хто досі заперечує, жадібний та зарозумілий. У будь-якому випадку, ми опублікуємо приватний ключ, який дозволить розшифрувати наші розмови.»
Повідомлення в блокчейні від хакера, переклад з англійської. Знімок екрана, опублікований @PreRichBear на X, 9 вересня 2026 року.
Liquid Network під тиском: 598,5 BTC як розмінна монета
Те, що Bitcoin.com News описує як «ескалацію протистояння», зводиться до однієї фрази. Хакер тримає в заручниках 598,5 BTC, які він так і не повернув, і використовує їх як важіль для вимагання додаткової виплати, цього разу безпосередньо від Blockstream. Це спосіб дати зрозуміти, що перша угода була лише авансом.
Найближчим прецедентом залишається злам Poly Network у 2021 році. Там також атакуючий представився як whitehat і вів публічні переговори. Зрештою, він повернув майже всю суму в 611 мільйонів доларів, після чого протокол запропонував йому посаду радника з безпеки. Через п’ять років хакер Liquid Network відтворює той самий сценарій, але більш жорстко. Він досі утримує 598,5 BTC. І на додаток вимагає ще 10% від казначейства Blockstream.