Hack Liquid Network: White hat, black hat, nebo něco jiného?

​Strana, která zneužila Liquid Network, se v on-chain zprávě nejprve označila za white-hat aktéra. Většina bitcoinové komunity však toto označení nepřijala. Poté, co z multisigové federativní peněženky zajišťující Liquid Bitcoin (L-BTC) na síti Liquid odešlo přibližně 4 000 bitcoinů, stejná strana vrátila 3 400 bitcoinů a přibližně 598,5 bitcoinu, v době odčerpání v hodnotě zhruba 47 milionů dolarů, si ponechala. Následná debata na Bitcoin Twitteru se občas změnila v intenzivní spor o to, zda je tento zůstatek odměnou za nahlášení chyby, výkupným, nebo něčím jiným.

Přehled toho, co se stalo

Dne 6. září umožnila konsenzuální chyba v Elements, open-source softwaru pohánějícím Liquid, určité straně vytvořit přibližně 4 000 L-BTC, které nebyly kryty odpovídajícím vkladem na základním bitcoinovém blockchainu. Společnost Chainalysis později popsala tuto zranitelnost jako problém ve způsobu, jakým uzly Liquid ukládaly do cache kontroly range-proofů používané technologií Liquid pro zvýšení soukromí, známou jako Confidential Transactions. Neplatná data mohla být považována za dříve ověřený výsledek, což útočníkům umožnilo razit nekryté L-BTC.

Liquid Federation uvolnila na cílovou adresu na bitcoinovém blockchainu přibližně 3 996 bitcoinů, protože transakce vypadala, že zahrnuje spálení legitimních, platných L-BTC. Pro upřesnění: během útoku nebyly odcizeny ani kompromitovány žádné federativní klíče. Společnost SideSwap však převzala odpovědnost za svou vlastní roli v incidentu, protože ve svém automatizovaném systému peg-out neimplementovala dostatečné kontrolní mechanismy ani časové prodlevy. „Právě tento design změnil vratnou událost na Liquid v nevratnou platbu na Bitcoinu,“ napsala společnost SideSwap.

Nakonec hackeři poslali federativní adrese zpět 3 400 bitcoinů a zbytek si ponechali. Komunikace mezi oběma stranami od té doby pokračovala prostřednictvím transakcí OP_RETURN zveřejňovaných na bitcoinovém blockchainu; v současnosti však není jasné, zda hackeři po stále vyhrocenějších veřejných jednáních pošlou na federativní adresu další prostředky.

Skutečnost, že hackeři stále drží téměř 600 bitcoinů, vyvolala debatu o tom, jak by měl být tento incident klasifikován. Někteří uživatelé Bitcoinu a insideři z kryptoprůmyslu to považují za neoficiální odměnu získanou po selhání bezpečnosti, zatímco jiní tvrdí, že držet mince, požadovat opravu a následně si ponechat podíl je přinejlepším grey-hat jednání a v nejhorším případě kriminální vydírání.

Zastánci pohledu grey-hat

Generální ředitel Layer Two Labs a tvůrce drivechains Paul Sztorc uvedl: „Myslím, že 15% spropitné je celkem rozumné.“ Bez určité platby je podle něj motivací „okamžitě vzít VŠECHNY mince“, „okamžitě je VŠECHNY promíchat“ a „NIKDY nikoho nekontaktovat“. Později dodal, že podle jeho názoru je „docela špatné“, že se k vráceným 3 400 bitcoinům nedostalo dostatečného uznání.

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Spoluzakladatel USDT0 Lorenzo Romagnoli také v debatě s generálním ředitelem AnchorWatch Robem Hamiltonem sdílel argumenty sympatizující s hackerem Liquid Network. „Doslova vrátil 3 400 BTC, vůbec netušíte, jak nepravděpodobné to je,“ napsal a dodal, že „[Severní Korea] by zničila celou věc, to by byl black hat.“

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Autor knihy The Bitcoin-Dollar Mark Goodwin vyjádřil podobný názor: „Představte si, že vám hacker vrátí téměř 300 milionů dolarů poté, co jste je vy a 14 vašich přátel nedokázali bezpečně uložit, a vy si ještě stěžujete?“

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Pro upřesnění: nezdá se, že by mezi prominentními insidery bitcoinového průmyslu byl někdo, kdo by zašel tak daleko a označil tento incident za čistě white-hat hacking.

Argumenty pro black hat

Opačný tábor se v této debatě více zajímá o skutečnost, že hackeři stále drží 600 bitcoinů pocházejících z incidentu, než o 3 400 bitcoinů, které již byly vráceny. Bitcoinový vývojář a autor různých Bitcoin Improvement Proposals (BIP) Calvin Kim varoval, že považovat 15% podíl za přijatelný vysílá jasný signál. 

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

„Hackujte lidi a vezměte si 15 %. A ono se to ani nepovažuje za krádež!“ napsal. „Tímto tempem by mě nepřekvapilo, kdyby lidé začali vytvářet [pull requests] se zranitelnostmi, aby mohli hackovat a získat svých 15 %.“

Technologický ředitel Ledgeru Charles Guillemet to označil za „čisté vydírání“. „Kdyby byli tito lidé čestní, kontaktovali by Blockstream a vysvětlili zranitelnost bezpečnostnímu týmu,“ napsal. „Blockstream by pak rozhodl, co je nejlepší pro Liquid a jeho uživatele: pozastavit síť, opravit zranitelnost a poté vyplatit výzkumníkovi či výzkumníkům odměnu. Jakékoli jiné jednání je vydírání.“ V dřívějším příspěvku po vrácení 3 400 bitcoinů také uvedl: „Vypadá to spíš jako vydírání než white-hat hacking!“

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Již zmíněný Hamilton byl stejně přímý. „Nevíme, co dělala šifrovaná komunikace, ale držet prostředky a zároveň vyjednávat o podílu není white-hat jednání,“ napsal v odpovědi Sztorcovi. V jiné konverzaci Hamilton také upozornil, že celý rámec white hat vytvořili sami útočníci. „Slovo white hat bychom vůbec nepoužívali, kdyby útočník nezačal celé nastavení tohoto narativního rámce tím, že se sám označil za white hat. Ne, děkuji, nebudu zahajovat konverzaci přijetím jejich rámce.“

Člověk se nemůže jednoduše označit za „white hat“

Za zmínku také stojí, že samozvané označení „white hat“ nemusí mít u soudu žádný význam. Zakladatelka Gart Alena Vránová napsala, že zneužití chyby, převzetí 4 000 bitcoinů a požadování opravy představuje vydírání. „To může znamenat obvinění z trestného činu a dlouhý pobyt ve vězení,“ dodala. „V USA až 20 let, přičemž obvinění z počítačového podvodu mohou trest ještě navýšit.“ V následných příspěvcích nastínila prvky, které soudy posuzují, konkrétně požadavek, hrozbu újmy, pokud nebude požadavek splněn, a úmysl získat majetek nebo výhodu. „Nemohou si ‚vzít nebo ponechat něco jako odměnu‘,“ napsala. „Pokud to udělají, jde o krádež + vydírání + podvod.“

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Pseudonymní technický editor Bitcoin Magazine Shinobi uvedl podobný argument po částečném vrácení odčerpaných prostředků. Kdyby daná strana vrátila 100 %, mohla by podle něj být odměna „zcela právně v pořádku“. Ponechání podílu po veřejném vyjednávání je podle něj staví „zcela jednoznačně do pozice pachatelů vydírání, které doslova proběhlo veřejně“.

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Ztráta, kterou by Liquid jen obtížně získal zpět

Jedním z bodů, které se v této debatě poněkud ztratily, je skutečnost, že Liquid nikdy nebyl významným zdrojem příjmů a dlouhodobě se mu lidé vysmívali kvůli relativně omezenému využití. Když se uživatel X humorně zeptal, jak dlouho by Liquid Network hypoteticky potřeboval k pokrytí současného deficitu 600 bitcoinů pouze z transakčních poplatků, Grok odhadl, že by to trvalo přibližně 258 let.

Blockstream však jasně uvedl, že nebude platit to, co v souvislosti s hackem Liquid Network považuje za výkupné. Společnost na X uvedla: „Blockstream za vrácení ukradených prostředků výkupné platit nebude. Neoprávněné převzetí aktiv a zadržování jejich vrácení je trestný čin, nikoli odpovědné zveřejnění zranitelnosti. Nejde o white-hat aktivitu. Je to krádež.“