Liquid Network-hack: White hat, black hat eller noget helt andet?

​Den part, der udnyttede Liquid Network, identificerede sig først som en white-hat-aktør i en on-chain-meddelelse. Men den betegnelse er ikke blevet accepteret af en stor del af Bitcoin-brugerbasen. Efter at omkring 4.000 Bitcoin forlod multisig-føderationswallet'en, der understøtter Liquid Bitcoin (L-BTC) på Liquid Network, returnerede den samme part 3.400 Bitcoin og beholdt cirka 598,5 Bitcoin til sig selv. Beløbet var på daværende tidspunkt omkring 47 millioner dollar værd. Den efterfølgende diskussion på Bitcoin Twitter udviklede sig til tider til en intens debat om, hvorvidt den resterende beholdning er en bug bounty, en løsesum eller noget andet.

Gennemgang af hændelsesforløbet

Den 6. september gjorde en konsensusfejl i Elements, open source-softwaren bag Liquid, det muligt for en part at skabe omkring 4.000 L-BTC, som ikke var dækket af et tilsvarende indskud på den underliggende Bitcoin-blockchain. Chainalysis beskrev senere fejlen som et problem i den måde, Liquid-noder cachede range-proof-kontroller på, som bruges af Liquids teknologi til forbedring af privatliv, kendt som Confidential Transactions. Ugyldige data kunne blive behandlet som et tidligere verificeret resultat, hvilket gjorde det muligt for angribere at udstede L-BTC uden dækning.

Liquid Federation frigav omkring 3.996 Bitcoin til destinationsadressen på Bitcoin-blockchainen, fordi transaktionen så ud til at indebære afbrænding af legitim og gyldig L-BTC. For at gøre det klart: Ingen føderationsnøgler blev stjålet eller kompromitteret under angrebet. Når det er sagt, påtog SideSwap sig ansvaret for deres egen rolle i hændelsen, fordi de ikke havde implementeret tilstrækkelige plausibilitetskontroller eller tidsforsinkelser i forbindelse med deres automatiserede peg-out-system. “Det design gjorde en reversibel hændelse på Liquid til en irreversibel betaling på Bitcoin,” skrev SideSwap.

Til sidst sendte hackerne 3.400 Bitcoin tilbage til føderationsadressen og beholdt resten. Samtalerne mellem de to parter er siden fortsat via OP_RETURN-transaktioner offentliggjort på Bitcoin-blockchainen. Det er dog i øjeblikket uklart, om hackerne vil sende flere midler tilbage til føderationsadressen, efter at de offentlige forhandlinger blev stadig mere ophedede.

Det forhold, at hackerne stadig holder næsten 600 Bitcoin, har udløst en debat om, hvordan hændelsen bør klassificeres. Nogle Bitcoin -brugere og insidere i kryptoindustrien ser det som en uofficiel dusør, der blev udtrukket efter en sjusket sikkerhedsfejl, mens andre hævder, at det at beholde mønterne, mens man kræver en rettelse, og derefter beholde en andel, i bedste fald er grey-hat-adfærd og i værste fald kriminel afpresning.

Tilhængere af grey-hat-synspunktet

Layer Two Labs' CEO og opfinder af drivechains, Paul Sztorc, argumenterede: “Jeg synes, at drikkepengene på 15 % er ganske rimelige.” Uden en form for betaling, skrev han, er incitamentet “at tage ALLE mønterne med det samme”, “MIXE dem alle med det samme” og “ALDRIG kontakte nogen”. Senere tilføjede han, at den manglende taknemmelighed, han oplevede over de returnerede 3.400 Bitcoin, “virker ret forskruet for mig”.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

USDT0-medstifter Lorenzo Romagnoli fremførte også argumenter, der var sympatiske over for Liquid Network-hackeren, i en meningsudveksling med AnchorWatch-CEO Rob Hamilton. “Han gav bogstaveligt talt 3.400 BTC tilbage; du aner ikke, hvor usandsynligt det er,” skrev han og tilføjede, at “[North Korea] ville have ødelagt det hele; det ville være en black hat.”

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Mark Goodwin, forfatteren bag Bitcoin-Dollar, udtrykte en lignende holdning og skrev: “Forestil dig, at en hacker returnerer næsten 300 millioner til dig, efter at du og 14 af dine venner ikke formåede at opbevare dem sikkert, og så klager du over det?”

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

For at gøre det klart: Der synes ikke at være fremtrædende insidere fra Bitcoin-industrien, som går så langt som til at betegne dette som et rent white-hat-hackingangreb.

Sagen for black hat

Den modsatte lejr i denne diskussion er mere optaget af, at hackerne stadig holder 600 Bitcoin, der stammer fra hændelsen, end af de 3.400, der allerede er returneret. Bitcoin-udvikleren og forfatteren til forskellige Bitcoin Improvement Proposals (BIPs), Calvin Kim, advarede om, at en accept af andelen på 15 % sender et klart signal. 

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

“Hack folk og tag 15 %. Det bliver ikke engang betragtet som tyveri!” skrev han. “I dette tempo ville jeg ikke blive overrasket, hvis folk begynder at indsende [pull requests] med sårbarheder, så de kan hacke og få deres 15 %.”

Ledgers CTO Charles Guillemet kaldte det “ren afpresning”. “Hvis disse mennesker var ærlige, ville de have kontaktet Blockstream og forklaret sårbarheden til sikkerhedsteamet,” skrev han. “Derfra ville Blockstream have besluttet, hvad der var bedst for Liquid og dets brugere: sætte netværket på pause, rette sårbarheden og derefter betale forskeren eller forskerne en dusør. Enhver anden adfærd er afpresning.” I et tidligere opslag, efter at de 3.400 Bitcoin var blevet returneret, skrev han også: “Det ligner mere afpresning end white-hat-hacking!”

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Den førnævnte Hamilton har været lige så direkte. “Vi ved ikke, hvad den krypterede kommunikation gik ud på, men at holde på beholdningen, mens man forhandler om en andel, er ikke white-hat-adfærd,” skrev han som svar til Sztorc. I en separat samtale påpegede Hamilton også, at hele white-hat-rammesætningen startede med angriberne. “Vi ville ikke engang bruge udtrykket white hat, hvis angriberen ikke havde startet hele framing'en af fortolkningsrammen ved selv at identificere sig som white hat. Nej tak; jeg starter ikke samtalen med at acceptere deres framing.”

Man kan ikke bare kalde sig selv ‘white hat’

Det er også værd at bemærke, at betegnelsen “white hat”, som de selv har taget, muligvis ikke har betydning i retten. Gart-stifter Alena Vránová skrev, at udnyttelsen af fejlen, tilegnelsen af 4.000 Bitcoin og kravet om en rettelse udgør afpresning. “Det kan medføre tiltale for en alvorlig forbrydelse og lang fængselsstraf,” tilføjede hun. “I USA op til 20 år, og tiltaler for computersvindel kan lægge yderligere straf oveni.” I efterfølgende opslag skitserede hun de elementer, som domstole ser efter: et krav, en trussel om skade, hvis kravet ikke opfyldes, samt et forsæt til at opnå ejendom eller en fordel. “De kan ikke ‘tage eller beholde noget som dusør’,” skrev hun. “Hvis de gør det, er det tyveri + afpresning + bedrageri.”

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Bitcoin Magazines pseudonyme tekniske redaktør Shinobi fremførte et lignende synspunkt efter den delvise returnering af de drænede midler. Hvis parten havde sendt 100 % tilbage, argumenterede han, kunne en dusør have været mulig “helt uden juridisk risiko”. At beholde en andel efter en offentlig forhandling, skrev han, efterlader dem “fuldstændig fastslået som skyldige i afpresning, bogstaveligt talt udført offentligt”.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Et tab, Liquid ville få svært ved at tjene ind igen

Et punkt, der til en vis grad er gået tabt i diskussionen, er, at Liquid aldrig har været en stærk indtægtskilde og længe er blevet gjort til grin på grund af den relativt begrænsede brug. Da en X-bruger humoristisk spurgte, hvor lang tid det hypotetisk ville tage Liquid Network at dække det nuværende underskud på 600 Bitcoin alene gennem transaktionsgebyrer, vurderede Grok, at det ville tage omkring 258 år.

Når det er sagt, gjorde Blockstream det klart, at de ikke vil betale det, de opfatter som en løsesum i forbindelse med Liquid Network-hacket. På X skrev virksomheden: “Blockstream betaler ikke løsesum for at få stjålne midler tilbage. At tage aktiver uden tilladelse og tilbageholde dem er en forbrydelse, ikke ansvarlig sårbarhedsrapportering. Det er ikke white-hat-aktivitet. Det er tyveri.”