اختراق Liquid Network: قبعة بيضاء أم قبعة سوداء أم شيء آخر؟

​عرّف الطرف الذي استغل Liquid Network نفسه أولًا بأنه جهة ذات قبعة بيضاء في رسالة على السلسلة. لكن هذا الوصف لم يحظَ بقبول شريحة كبيرة من مستخدمي Bitcoin. فبعد خروج نحو 4,000 Bitcoin من محفظة اتحاد التوقيعات المتعددة التي تدعم Liquid Bitcoin (L-BTC) على Liquid Network، أعاد الطرف نفسه 3,400 Bitcoin واحتفظ لنفسه بنحو 598.5 Bitcoin، كانت قيمتها تقارب $47 مليونًا وقت الاستغلال. وقد تحوّل النقاش الذي أعقب ذلك على Bitcoin Twitter أحيانًا إلى جدل حاد حول ما إذا كانت هذه الكمية المتبقية مكافأةً لاكتشاف ثغرة، أو فدية، أو شيئًا آخر.

مراجعة ما حدث

في 6 سبتمبر، سمح خلل في الإجماع في Elements، وهو البرنامج مفتوح المصدر الذي يشغّل Liquid، لطرف ما بإنشاء نحو 4,000 L-BTC غير مدعومة بأي إيداع مقابل على سلسلة Bitcoin الأساسية. وقد وصفت Chainalysis الخلل لاحقًا بأنه مشكلة في طريقة تخزين عقد Liquid مؤقتًا لفحوصات إثبات النطاق المستخدمة في تقنية تعزيز الخصوصية لدى Liquid، والمعروفة باسم Confidential Transactions. وكان من الممكن التعامل مع بيانات غير صالحة على أنها نتيجة جرى التحقق منها مسبقًا، ما أتاح للمهاجمين سكّ L-BTC غير مدعومة.

حوّل اتحاد Liquid نحو 3,996 Bitcoin إلى عنوان الوجهة على سلسلة Bitcoin، لأن المعاملة بدت وكأنها تتضمن حرق L-BTC شرعية وصالحة. وللتوضيح، لم تُسرق أي من مفاتيح الاتحاد أو تُخترق في الهجوم. ومع ذلك، تحمّلت SideSwap مسؤولية دورها في الحادثة، لأنها لم تطبّق فحوصات سلامة أو فترات تأخير كافية مرتبطة بنظام التحويل الآلي من Liquid إلى Bitcoin. وكتبت SideSwap: «هذا التصميم هو ما حوّل حدثًا قابلًا للعكس على Liquid إلى دفعة غير قابلة للعكس على Bitcoin».

في نهاية المطاف، أعاد المهاجمون 3,400 Bitcoin إلى عنوان الاتحاد واحتفظوا بالباقي. واستمرت المحادثات بين الطرفين منذ ذلك الحين عبر معاملات OP_RETURN المنشورة على سلسلة Bitcoin؛ غير أنه لا يزال من غير الواضح حاليًا ما إذا كان المهاجمون سيرسلون مزيدًا من الأموال إلى عنوان الاتحاد بعد أن أصبحت المفاوضات العلنية أكثر حدة.

إن استمرار المهاجمين في الاحتفاظ بنحو 600 Bitcoin هو ما أدى إلى الجدل حول التصنيف المناسب لهذه الحادثة. فبعض مستخدمي Bitcoin والمطلعين على صناعة العملات المشفرة يرونها مكافأة غير رسمية انتُزعت بعد إخفاق أمني فادح، بينما يقول آخرون إن الاحتفاظ بالعملات مع المطالبة بإصلاح الخلل، ثم الاحتفاظ بجزء منها، يُعد سلوكًا ذا قبعة رمادية في أفضل الأحوال وابتزازًا إجراميًا في أسوأها.

أنصار وجهة نظر القبعة الرمادية

جادل بول سزتورك، الرئيس التنفيذي لـ Layer Two Labs ومخترع drivechains، قائلًا: «أعتقد أن إكرامية بنسبة 15% معقولة جدًا». وكتب أن غياب أي دفعة سيجعل الحافز هو «أخذ كل العملات فورًا»، و«خلطها كلها فورًا»، و«عدم التواصل مع أي شخص إطلاقًا». وأضاف لاحقًا أن ما اعتبره نقصًا في الامتنان مقابل إعادة 3,400 Bitcoin «يبدو لي فعلًا أمرًا مختلًا للغاية».

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

كما شارك لورينزو رومانيولي، الشريك المؤسس لـ USDT0، حججًا متعاطفة مع مخترق Liquid Network في نقاش متبادل مع روب هاميلتون، الرئيس التنفيذي لـ AnchorWatch. وكتب: «لقد أعاد حرفيًا 3,400 BTC، ولا فكرة لديكم عن مدى استبعاد حدوث ذلك»، مضيفًا أن «[North Korea] كانت ستدمر الأمر برمته، وهذا هو صاحب القبعة السوداء».

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

وعبّر مارك غودوين، مؤلف Bitcoin-Dollar، عن شعور مماثل، إذ كتب: «تخيل أن يعيد إليك مخترق ما يقرب من 300mil بعد أن فشلت أنت و14 من أصدقائك في تخزينها بأمان، ثم تشتكي من ذلك؟»

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

وللتوضيح، لا يبدو أن هناك أي شخص بارز من المطلعين على صناعة Bitcoin يذهب إلى حد وصف هذه الحادثة بأنها اختراق ذو قبعة بيضاء خالصة.

حجة القبعة السوداء

يهتم المعسكر المعارض في هذا النقاش بحقيقة استمرار المهاجمين في الاحتفاظ بـ600 Bitcoin ناتجة عن الحادثة أكثر من اهتمامه بـ3,400 التي أُعيدت بالفعل. وحذّر مطور Bitcoin ومؤلف عدد من مقترحات تحسين Bitcoin (BIPs)، كالفن كيم، من أن اعتبار اقتطاع 15% مقبولًا يرسل رسالة واضحة. 

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

وكتب: «اختراق الناس وأخذ 15%. ولا يُنظر إلى ذلك حتى على أنه سرقة!» وأضاف: «بهذا المعدل، لن أستغرب إذا بدأ أشخاص بتقديم [pull requests] تتضمن ثغرات حتى يتمكنوا من الاختراق والحصول على 15%».

وصف تشارلز غيميه، المدير التقني في Ledger، الأمر بأنه «ابتزاز صريح». وكتب: «لو كان هؤلاء الأشخاص صادقين، لتواصلوا مع Blockstream وشرحوا الثغرة لفريق الأمن». وأضاف: «بعد ذلك، كانت Blockstream ستقرر ما الأفضل لـ Liquid ومستخدميها: إيقاف الشبكة مؤقتًا، وإصلاح الثغرة، ثم دفع مكافأة للباحث أو الباحثين. وأي سلوك آخر هو ابتزاز». وفي منشور سابق، بعد إعادة 3,400 Bitcoin، قال أيضًا: «يبدو الأمر أقرب إلى الابتزاز منه إلى الاختراق ذي القبعة البيضاء!»

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

وكان هاميلتون المذكور آنفًا مباشرًا بالقدر نفسه. فكتب ردًا على سزتورك: «لا نعرف ما الذي كانت تفعله الاتصالات المشفرة، لكن الاحتفاظ بالكمية أثناء التفاوض على اقتطاع ليس سلوكًا ذا قبعة بيضاء». وفي محادثة منفصلة، أشار هاميلتون أيضًا إلى أن إطار «القبعة البيضاء» برمته بدأه المهاجمون. وقال: «لم نكن لنستخدم كلمة القبعة البيضاء أصلًا لو لم يبدأ المهاجم بتأطير نافذة الخطاب بأكملها عبر تعريف نفسه بأنه صاحب قبعة بيضاء. لا شكرًا، لن أبدأ المحادثة بقبول إطارهم».

لا يمكن للمرء ببساطة أن يصف نفسه بأنه «صاحب قبعة بيضاء»

ومن الجدير بالذكر أيضًا أن وصف «القبعة البيضاء» الذي أطلقه المهاجمون على أنفسهم قد لا تكون له أهمية أمام المحكمة. فقد كتبت ألينا فرانوفا، مؤسسة Gart، أن استغلال الخلل والاستيلاء على 4,000 Bitcoin والمطالبة بإصلاحه يُعد ابتزازًا. وأضافت: «قد يعني ذلك توجيه اتهامات بجناية والسجن لفترة طويلة». و«في الولايات المتحدة، قد تصل العقوبة إلى 20 عامًا، كما يمكن أن تضيف اتهامات الاحتيال الحاسوبي مدة أخرى». وفي منشورات لاحقة، أوضحت العناصر التي تبحث عنها المحاكم، وهي وجود مطالبة، وتهديد بإلحاق الضرر إذا لم تُنفذ المطالبة، ونية الحصول على ممتلكات أو ميزة. وكتبت: «لا يمكنهم أخذ شيء أو الاحتفاظ به باعتباره مكافأة». وأضافت: «إذا فعلوا ذلك، فهي سرقة + ابتزاز + احتيال».

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

وأبدى شينوبـي، المحرر التقني المستعار في Bitcoin Magazine، نقطة مماثلة بعد الإعادة الجزئية للأموال المستنزفة. وقال إنه لو أعاد الطرف 100% منها، لكان من الممكن أن تصبح المكافأة «قانونية تمامًا ومن دون أي إشكال». أما الاحتفاظ بجزء منها بعد تفاوض علني، فكتب أنه يتركهم «مدانين بوضوح بالابتزاز الذي نُفذ حرفيًا على الملأ».

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

خسارة سيصعب على Liquid تعويضها

إحدى النقاط التي ضاعت إلى حد ما في النقاش هي أن Liquid لم تكن يومًا مصدرًا قويًا للإيرادات، لطالما تعرضت للسخرية بسبب محدودية استخدامها نسبيًا. ومن المفارقات أنه عندما سأل أحد مستخدمي X عن المدة الافتراضية التي ستحتاجها Liquid Network لتغطية العجز الحالي البالغ 600 Bitcoin من رسوم المعاملات وحدها، قدّر Grok أنها ستحتاج إلى نحو 258 عامًا.

ومع ذلك، أوضحت Blockstream أنها لن تدفع ما تعتبره فدية مرتبطة باختراق Liquid Network. وقالت الشركة على X: «لن تدفع Blockstream فدية مقابل إعادة الأموال المسروقة. إن أخذ الأصول دون تصريح وحجب إعادتها جريمة، وليس إفصاحًا مسؤولًا. وهذا ليس نشاطًا ذا قبعة بيضاء. إنها سرقة».