Blockstream拒绝支付白帽黑客早已习惯期待的10%分成

Blockstream 不会向掏空其 Liquid 侧链的攻击者支付报酬。这一拒绝打破了加密货币行业的惯例：允许自称白帽黑客的人留下部分赃款。

Liquid 是由 Blockstream 构建的网络，用户可锁定比特币（BTC），并获得等值代币，后者的转账速度更快。攻击者于 9 月 6 日利用软件漏洞，盗走了约 4,000 BTC。

白帽黑客为何会认为自己理应分一杯羹

该漏洞让攻击者能够创建没有任何真实比特币作为支撑的 Liquid 代币，然后将其兑换转出。联盟签名密钥从未被盗，因此掏空 Liquid 的交易得以正常通过。

Blockstream 修补软件后，攻击者随后归还了 3,400 BTC，并要求追溯发放漏洞赏金。他们留下了 598.5 BTC，按当前比特币价格计算，价值约 4,600 万美元。

这种要求有章可循。Nomad 是一个在 2022 年损失 1.9 亿美元的跨链桥，它曾公开承诺，只要黑客归还其余资金，就可以留下其中 10%。此后，其他项目也效仿了这种做法。

Blockstream 在声明中表示，开源开发者不应支付远高于自身在网络中投入资金的款项。

未经授权拿走资产并扣留不还，是犯罪行为，而非负责任的漏洞披露。这不属于白帽行为，而是盗窃。

Ledger 首席技术官 Charles Guillemet 几天前质疑了白帽黑客的说法。他认为，攻击者掏空一座跨链桥后再邀请他人联系自己，这并非安全研究。

拒绝支付赎金的公司不止这一家。2024 年，Kraken 指控安全研究人员敲诈勒索：他们拿走了 300 万美元，还自行开价要求归还。

BeInCrypto 于 9 月 7 日报道称，部分归还后仍有近 600 枚 BTC 下落不明。这一缺口至今未能弥补，Blockstream 也没有公开说明，如果这些币永远无法追回，损失将由谁承担。

如今，追回资金的希望寄托在执法部门、交易所和链上取证上，目标是那些身份尚未查明的行为者。这次拒绝是否坚持到底，将影响下一名攻击者会提出什么要求。

来源：BeInCrypto