„Wir zahlen kein Lösegeld“: Blockstream wendet sich an Liquid-Hacker

In dem Statement schreibt Blockstream, dass man kein „Lösegeld“ für die Rückgabe gestohlener Gelder zahlen werde. Wer Vermögenswerte ohne Erlaubnis an sich nehme und ihre Rückgabe verweigere, betreibe kein Responsible Disclosure und handle auch nicht als White Hat.

Blockstream erklärt außerdem, dass man sich bislang bewusst auf die Kommunikation eingelassen habe, um möglichst viele Gelder zurückzuholen und Nutzer zu schützen. Das dürfe aber nicht als Zustimmung zum Vorgehen oder zu möglichen Forderungen der Hacker verstanden werden.

Gleichzeitig lässt Blockstream den Verantwortlichen noch eine Tür offen. Die verbliebenen Bitcoin könnten weiterhin zurückgegeben werden, womit man wieder zu einem normalen White-Hat-Vorgehen zurückkehren könne.

Sollte das nicht passieren, will Blockstream nach eigener Aussage „alle rechtlichen Möglichkeiten ausschöpfen“ und mit Strafverfolgungsbehörden, Börsen, Dienstleistern und den weltweit besten Blockchain-Forensikern zusammenzuarbeiten. Ziel sei es, die Coins nachzuverfolgen, zurückzuholen und die Verantwortlichen zu identifizieren.

Bitcoin ist von Grund auf transparent. Und die Community besteht aus einigen der weltweit besten Ingenieure, Kryptografen und White-Hat-Hackern. Transaktionen verschwinden nicht – und genauso wenig die Spuren, die sie hinterlassen. Gebt die Bitcoin zurück.
^Blockstream

Ganz unumstritten ist das Statement allerdings nicht. In der Community wird vor allem kritisiert, dass Blockstream die Verantwortung sehr stark auf die Hacker schiebt, obwohl der eigentliche Ausgangspunkt offenbar ein Fehler in Elements, also der Software hinter Liquid, war.

Manche Leute in den sozialen Medien argumentieren deshalb, dass einige Blockstream-Formulierungen wie z.B. „ohne Autorisierung entwendet“ zumindest technisch nicht ganz so einfach seien. Der Fehler sorgte schließlich offenbar gerade dafür, dass das System Transaktionen akzeptierte, die es eigentlich hätte ablehnen müssen. Zusätzlich gab es offenbar keine ausreichenden Limits, die einen Peg-out in dieser Größenordnung automatisch gestoppt hätten.

Natürlich macht ein Softwarefehler das Einbehalten fremder Bitcoin nicht automatisch legitim. Trotzdem gehört zur Geschichte eben auch, dass die knapp 4.000 BTC nur deshalb ausgezahlt werden konnten, weil die vorhandenen Sicherheitsmechanismen versagt haben beziehungsweise gar nicht vorhanden waren.

Wie es mit den noch ausstehenden knapp 600 BTC weitergeht, ist derzeit offen.