Hack des Liquid Network: White Hat, Black Hat oder etwas anderes?

​Die Partei, die das Liquid Network ausgenutzt hat, bezeichnete sich in einer On-Chain-Nachricht zunächst selbst als White-Hat-Akteur. Diese Bezeichnung wird jedoch von großen Teilen der Bitcoin-Nutzerschaft nicht akzeptiert. Nachdem rund 4.000 Bitcoin die Multisig-Federations-Wallet verlassen hatten, die Liquid Bitcoin (L-BTC) im Liquid Network absichert, gab dieselbe Partei 3.400 Bitcoin zurück und behielt etwa 598,5 Bitcoin für sich – zum Zeitpunkt des Abzugs rund 47 Millionen US-Dollar wert. Die anschließende Diskussion auf Bitcoin-Twitter entwickelte sich zeitweise zu einer hitzigen Debatte darüber, ob dieser verbliebene Bestand eine Bug-Bounty, ein Lösegeld oder etwas anderes darstellt.

Rückblick auf die Ereignisse

Am 6. September ermöglichte ein Konsensfehler in Elements, der Open-Source-Software hinter Liquid, einer Partei, etwa 4.000 L-BTC zu erzeugen, die nicht durch eine entsprechende Einzahlung auf der zugrunde liegenden Bitcoin-Blockchain gedeckt waren. Chainalysis beschrieb den Fehler später als ein Problem damit, wie Liquid-Nodes die für die datenschutzsteigernde Technologie von Liquid verwendeten Range-Proof-Prüfungen zwischenspeicherten, die als Confidential Transactions bekannt ist. Ungültige Daten konnten als zuvor verifiziertes Ergebnis behandelt werden, wodurch Angreifer ungedeckte L-BTC erzeugen konnten.

Die Liquid Federation gab etwa 3.996 Bitcoin an die Zieladresse auf der Bitcoin-Blockchain aus, weil die Transaktion den Anschein erweckte, legitime, gültige L-BTC zu verbrennen. Klarzustellen ist, dass bei dem Angriff keine Schlüssel der Federation gestohlen oder kompromittiert wurden. Dennoch übernahm SideSwap die Verantwortung für den eigenen Anteil an dem Vorfall, da keine ausreichenden Plausibilitätsprüfungen oder Zeitverzögerungen für das automatisierte Peg-out-System implementiert worden waren. „Dieses Design verwandelte ein reversibles Ereignis auf Liquid in eine irreversible Zahlung auf Bitcoin“, schrieb SideSwap.

Schließlich sandten die Hacker 3.400 Bitcoin zurück an die Adresse der Federation und behielten den Rest. Seitdem wurden die Gespräche zwischen den beiden Parteien über OP_RETURN-Transaktionen fortgesetzt, die auf der Bitcoin-Blockchain veröffentlicht wurden. Allerdings ist derzeit unklar, ob die Hacker weitere Gelder an die Adresse der Federation zurücksenden werden, nachdem die öffentlichen Verhandlungen zunehmend hitzig wurden.

Die Tatsache, dass die Hacker weiterhin fast 600 Bitcoin halten, hat die Debatte darüber ausgelöst, wie dieser Vorfall einzuordnen ist. Einige Bitcoin -Nutzer und Insider der Kryptoindustrie betrachten dies als eine inoffizielle Prämie, die nach einem nachlässigen Sicherheitsversagen einbehalten wurde. Andere argumentieren, dass das Halten der Coins bei gleichzeitiger Forderung nach einem Patch und anschließendem Einbehalten eines Anteils bestenfalls Grey-Hat-Verhalten und schlimmstenfalls kriminelle Erpressung darstellt.

Befürworter der Grey-Hat-Sichtweise

Paul Sztorc, CEO von Layer Two Labs und Erfinder der Drivechains, erklärte: „Ich denke, ein Trinkgeld von 15 % ist ziemlich angemessen.“ Ohne eine gewisse Zahlung bestehe der Anreiz darin, „ALLE Coins sofort“ zu nehmen, „sie sofort ALLE zu MIXEN“ und „NIEMALS jemanden zu kontaktieren“. Später fügte er hinzu, dass der aus seiner Sicht fehlende Dank für die zurückgegebenen 3.400 Bitcoin „auf mich schon ziemlich daneben wirkt“.

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Auch Lorenzo Romagnoli, Mitgründer von USDT0, äußerte sich in einem Schlagabtausch mit Rob Hamilton, CEO von AnchorWatch, verständnisvoll gegenüber dem Hacker des Liquid Network. „Er hat buchstäblich 3.400 BTC zurückgegeben – du hast keine Ahnung, wie unwahrscheinlich das ist“, schrieb er und fügte hinzu: „[Nordkorea] hätte das Ganze zerstört, das wäre Black Hat gewesen.“

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Mark Goodwin, Autor von The Bitcoin-Dollar, äußerte eine ähnliche Ansicht und schrieb: „Stell dir vor, ein Hacker gibt dir fast 300 Millionen zurück, nachdem du und 14 deiner Freunde es versäumt habt, sie sicher aufzubewahren, und du beschwerst dich dann darüber?“

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Klar ist jedoch, dass es offenbar keine prominenten Insider der Bitcoin-Branche gibt, die so weit gehen, dies als einen eindeutig White-Hat-Angriff zu bezeichnen.

Das Black-Hat-Argument

Das gegnerische Lager interessiert sich in dieser Diskussion stärker dafür, dass die Hacker weiterhin 600 aus dem Vorfall stammende Bitcoin halten, als für die bereits zurückgegebenen 3.400. Der Bitcoin-Entwickler und Autor verschiedener Bitcoin Improvement Proposals (BIPs), Calvin Kim, warnte, dass die Akzeptanz des 15-%-Anteils eine klare Botschaft sende. 

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

„Leute hacken und 15 % nehmen. Das wird nicht einmal als Diebstahl angesehen!“, schrieb er. „Bei diesem Tempo würde es mich nicht überraschen, wenn Leute [Pull Requests] mit Schwachstellen erstellen, damit sie hacken und ihre 15 % bekommen können.“

Charles Guillemet, CTO von Ledger, bezeichnete dies als „offene Erpressung“. „Wenn diese Personen ehrlich gewesen wären, hätten sie Blockstream kontaktiert und dem Sicherheitsteam die Schwachstelle erklärt“, schrieb er. „Danach hätte Blockstream entschieden, was für Liquid und seine Nutzer am besten ist: das Netzwerk pausieren, die Schwachstelle beheben und dem oder den Forschern anschließend eine Prämie zahlen. Jedes andere Verhalten ist Erpressung.“ In einem früheren Beitrag, nachdem die 3.400 Bitcoin zurückgegeben worden waren, erklärte er außerdem: „Das sieht eher nach Erpressung als nach White-Hat-Hacking aus!“

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Der bereits erwähnte Hamilton äußerte sich ebenso direkt. „Wir wissen nicht, was die verschlüsselte Kommunikation bezwecken sollte, aber den Bestand zu halten und gleichzeitig über einen Anteil zu verhandeln, ist kein White-Hat-Verhalten“, schrieb er als Antwort an Sztorc. In einem separaten Gespräch wies Hamilton außerdem darauf hin, dass der gesamte White-Hat-Rahmen von den Angreifern ausgegangen sei. „Wir würden das Wort White Hat überhaupt nicht verwenden, wenn der Angreifer nicht die gesamte Deutungshoheit eröffnet hätte, indem er sich selbst als White Hat bezeichnete. Nein danke – ich beginne das Gespräch nicht, indem ich ihre Darstellung akzeptiere.“

Man kann sich nicht einfach selbst als „White Hat“ bezeichnen

Ebenfalls erwähnenswert ist, dass die selbst verliehene Bezeichnung „White Hat“ vor Gericht möglicherweise keine Rolle spielt. Alena Vránová, Gründerin von Gart, schrieb, dass das Ausnutzen der Schwachstelle, die Entnahme von 4.000 Bitcoin und die Forderung nach einer Behebung Erpressung darstellten. „Das kann eine Anklage wegen eines schweren Verbrechens und eine lange Gefängnisstrafe bedeuten“, fügte sie hinzu. „In den USA bis zu 20 Jahre; Anklagen wegen Computerbetrugs können weitere Strafen nach sich ziehen.“ In Folgebeiträgen skizzierte sie die Elemente, nach denen Gerichte suchen: eine Forderung, die Androhung eines Schadens, falls die Forderung nicht erfüllt wird, sowie die Absicht, Eigentum oder einen Vorteil zu erlangen. „Sie können nicht einfach ‚etwas als Prämie nehmen oder behalten‘“, schrieb sie. „Wenn sie das tun, handelt es sich um Diebstahl + Erpressung + Betrug.“

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Der pseudonyme technische Redakteur des Bitcoin Magazine, Shinobi, brachte nach der teilweisen Rückgabe der abgezogenen Gelder einen ähnlichen Punkt vor. Hätte die Partei 100 % zurückgesendet, wäre eine Prämie möglich gewesen und man wäre „rechtlich vollständig auf der sicheren Seite“ gewesen, argumentierte er. Das Einbehalten eines Anteils nach einer öffentlichen Verhandlung lasse sie jedoch „glasklar der Erpressung überführt sein – buchstäblich öffentlich durchgeführt“, schrieb er.

Beitrag auf X ansehen Wird geladen...

Der Tweet wurde vom Autor gelöscht.

Aber wir haben alles gespeichert 🙂.

Ein Verlust, den Liquid nur schwer wieder erwirtschaften könnte

Ein Punkt, der in der Diskussion etwas untergegangen ist: Liquid war nie ein starker Umsatzgenerator und wurde wegen seiner vergleichsweise begrenzten Nutzung lange verspottet. Als ein X-Nutzer Grok humorvoll fragte, wie lange das Liquid Network hypothetisch benötigen würde, um das aktuelle Defizit von 600 Bitcoin allein durch Transaktionsgebühren auszugleichen, schätzte Grok, dass dies etwa 258 Jahre dauern würde.

Blockstream stellte jedoch klar, dass das Unternehmen kein Lösegeld im Zusammenhang mit dem Hack des Liquid Network zahlen werde. Auf X erklärte das Unternehmen: „Blockstream wird kein Lösegeld für die Rückgabe gestohlener Gelder zahlen. Das unbefugte Nehmen von Vermögenswerten und das Zurückhalten ihrer Rückgabe ist ein Verbrechen, keine verantwortungsvolle Offenlegung. Es handelt sich nicht um White-Hat-Aktivität. Es ist Diebstahl.“