Гендиректор Immunefi Митчелл Амадор заявил, что операторы атаки на Liquid Network потеряли право на статус “белых хакеров”, удержав 598,5 BTC после возврата 3 400 BTC. По его словам, координированное раскрытие заканчивается в тот момент, когда исследователь сам устанавливает условия вознаграждения. “Деньги никогда не были вашими, чтобы их спасать, поэтому их перемещение не является спасением”, — подчеркнул Амадор.
Инцидент касался вывода примерно 4 000 BTC, оценивавшихся на тот момент около $320 млн, из мостовых узлов Liquid Network. Неизвестные сначала назвали операцию whitehat-спасением, а после исправления уязвимости Blockstream вернули 3 400 BTC, но оставили себе 598,5 BTC. Blockstream отвергла требование вознаграждения в 10% и заявила, что не будет платить за возврат оставшихся биткоинов. Техническая проверка показала, что коллизия кэш-ключей в логике верификации конфиденциальных транзакций позволила создать необеспеченные L-BTC, которые затем были конвертированы в реальные биткоины через сервис SideSwap. Ключи федерации скомпрометированы не были.
Амадор считает, что протоколы должны заранее определять правила спасения, максимальные суммы вознаграждений и правовую защиту исследователей. Он защитил отраслевую практику выплат до 10% от суммы под риском, если команда одобрила такие условия предварительно. “Десять процентов от эксплойта на $100 млн — это $10 млн, заработанные легально, когда вас потом никто не преследует”, — отметил он. При этом в США несанкционированный доступ не снимает ответственности даже при возврате средств: экс-инженер Shakeeb Ahmed получил три года тюрьмы и конфискацию более $12,3 млн.
Параллельно стало известно, что whitehat-операторы переместили 52,37 BTC, связанных с эксплойтом Coldcard, в адрес Crypto Recovery Trust. По данным главы исследований Galaxy Digital Алекса Торна, средства относятся к отслеживаемому кластеру Wave 2 и были консолидированы в блоке 967 948. Перевод сопровождался OP_RETURN-сообщением со ссылкой на сайт траста. Траст создан в Вайоминге, его управляющим выступает Agentic Trace LLC. Владельцы могут подавать заявки и подтверждать право собственности на возвращенные биткоины.
Эксплойт Coldcard начался 30 июля из-за дефекта прошивки, который заставлял генерацию seed использовать программный псевдослучайный генератор Yasmarang вместо аппаратного датчика случайных чисел. По оценкам исследователей, старые устройства Mk3 могли давать лишь около 40 бит эффективной энтропии, а Mk4, Mk5 и Q — около 72 бит. Coinkite выпустила исправления, однако новая прошивка не чинит уже созданные скомпрометированные seed. Пользователям предписано сгенерировать новый seed и перевести средства.
