Hack του Liquid Network: White hat, black hat ή κάτι άλλο;

​Το μέρος που εκμεταλλεύτηκε το Liquid Network αυτοπροσδιορίστηκε αρχικά ως white-hat δράστης σε μήνυμα on-chain. Ωστόσο, αυτή η ταυτότητα δεν έχει γίνει αποδεκτή από μεγάλο μέρος της κοινότητας χρηστών του Bitcoin. Αφού περίπου 4.000 Bitcoin έφυγαν από το πορτοφόλι multisig της ομοσπονδίας που υποστηρίζει το Liquid Bitcoin (L-BTC) στο Liquid Network, το ίδιο μέρος επέστρεψε 3.400 Bitcoin και κράτησε περίπου 598,5 Bitcoin για τον εαυτό του, αξίας περίπου 47 εκατομμυρίων δολαρίων τη στιγμή της άντλησης. Η συζήτηση που ακολούθησε στο Bitcoin Twitter μετατράπηκε κατά διαστήματα σε έντονη αντιπαράθεση σχετικά με το αν αυτό το υπόλοιπο αποτελεί bug bounty, λύτρα ή κάτι άλλο.

Εξετάζοντας τι συνέβη

Στις 6 Σεπτεμβρίου, ένα consensus bug στο Elements, το open-source λογισμικό που τροφοδοτεί το Liquid, επέτρεψε σε ένα μέρος να δημιουργήσει περίπου 4.000 L-BTC που δεν υποστηρίζονταν από αντίστοιχη κατάθεση στο βασικό blockchain του Bitcoin. Το Chainalysis περιέγραψε αργότερα το ελάττωμα ως πρόβλημα στον τρόπο με τον οποίο οι κόμβοι του Liquid αποθήκευαν προσωρινά τους ελέγχους range-proof που χρησιμοποιούνται από την τεχνολογία ενίσχυσης της ιδιωτικότητας του Liquid, γνωστή ως Confidential Transactions. Μη έγκυρα δεδομένα μπορούσαν να θεωρηθούν ως αποτέλεσμα που είχε επαληθευτεί προηγουμένως, επιτρέποντας στους επιτιθέμενους να εκδώσουν L-BTC χωρίς αντίκρισμα.

Η Liquid Federation απελευθέρωσε περίπου 3.996 Bitcoin προς τη διεύθυνση προορισμού στο blockchain του Bitcoin, επειδή η συναλλαγή φαινόταν να περιλαμβάνει το burn γνήσιων και έγκυρων L-BTC. Για να είμαστε σαφείς, κανένα κλειδί της ομοσπονδίας δεν κλάπηκε ούτε παραβιάστηκε κατά την επίθεση. Ωστόσο, η SideSwap ανέλαβε την ευθύνη για τον δικό της ρόλο στο περιστατικό, επειδή δεν είχε εφαρμόσει επαρκείς ελέγχους λογικής εγκυρότητας ή χρονικές καθυστερήσεις σχετικά με το αυτοματοποιημένο σύστημα peg-out. «Αυτός ο σχεδιασμός είναι που μετέτρεψε ένα αναστρέψιμο γεγονός στο Liquid σε μη αναστρέψιμη πληρωμή στο Bitcoin», έγραψε η SideSwap.

Τελικά, οι hackers έστειλαν πίσω 3.400 Bitcoin στη διεύθυνση της ομοσπονδίας και κράτησαν τα υπόλοιπα. Έκτοτε, οι συνομιλίες μεταξύ των δύο πλευρών συνεχίζονται μέσω συναλλαγών OP_RETURN που δημοσιεύονται στο blockchain του Bitcoin· ωστόσο, παραμένει ασαφές αν οι hackers θα επιστρέψουν περισσότερα κεφάλαια στη διεύθυνση της ομοσπονδίας, καθώς οι δημόσιες διαπραγματεύσεις έγιναν ολοένα πιο έντονες.

Το γεγονός ότι οι hackers εξακολουθούν να κατέχουν σχεδόν 600 Bitcoin έχει προκαλέσει τη συζήτηση για το πώς θα πρέπει να χαρακτηριστεί αυτό το περιστατικό. Ορισμένοι χρήστες του Bitcoin και παράγοντες της βιομηχανίας crypto το αντιμετωπίζουν ως ανεπίσημο bounty που αποσπάστηκε μετά από μια σοβαρή αποτυχία ασφάλειας, ενώ άλλοι υποστηρίζουν ότι η κατοχή των νομισμάτων ενώ απαιτούν ένα patch και στη συνέχεια κρατούν μερίδιο αποτελεί, στην καλύτερη περίπτωση, grey-hat πρακτική και, στη χειρότερη, εγκληματικό εκβιασμό.

Οι υποστηρικτές της άποψης περί grey-hat

Ο CEO της Layer Two Labs και εφευρέτης των drivechains, Paul Sztorc, υποστήριξε: «Νομίζω ότι το φιλοδώρημα 15% είναι αρκετά λογικό». Χωρίς κάποια πληρωμή, έγραψε, το κίνητρο είναι «να πάρουν ΟΛΑ τα νομίσματα αμέσως», «να τα κάνουν MIX αμέσως» και «να μην επικοινωνήσουν ΠΟΤΕ με κανέναν». Αργότερα πρόσθεσε ότι η έλλειψη ευγνωμοσύνης που αντιλήφθηκε για την επιστροφή των 3.400 Bitcoin «μου φαίνεται πραγματικά αρκετά απαράδεκτη».

Προβολή ανάρτησης στο X Φόρτωση...

Το tweet διαγράφηκε από τον συγγραφέα.

Αλλά αποθηκεύσαμε τα πάντα 🙂.

Ο συνιδρυτής του USDT0, Lorenzo Romagnoli, μοιράστηκε επίσης επιχειρήματα που έδειχναν κατανόηση προς τον hacker του Liquid Network, σε ανταλλαγή απόψεων με τον CEO της AnchorWatch, Rob Hamilton. «Κυριολεκτικά επέστρεψε 3.400 BTC, δεν έχεις ιδέα πόσο απίθανο είναι αυτό», έγραψε, προσθέτοντας ότι «[North Korea] θα τα είχε διαλύσει όλα, αυτό θα ήταν black hat».

Προβολή ανάρτησης στο X Φόρτωση...

Το tweet διαγράφηκε από τον συγγραφέα.

Αλλά αποθηκεύσαμε τα πάντα 🙂.

Ο συγγραφέας του Bitcoin-Dollar, Mark Goodwin, εξέφρασε παρόμοια άποψη, γράφοντας: «Φανταστείτε να σας επιστρέφει ένας hacker σχεδόν 300 εκατομμύρια, αφού εσείς και 14 φίλοι σας αποτύχατε να τα αποθηκεύσετε με ασφάλεια, και μετά να παραπονιέστε γι’ αυτό;»

Προβολή ανάρτησης στο X Φόρτωση...

Το tweet διαγράφηκε από τον συγγραφέα.

Αλλά αποθηκεύσαμε τα πάντα 🙂.

Για να είμαστε σαφείς, δεν φαίνεται να υπάρχουν προβεβλημένοι παράγοντες της βιομηχανίας του Bitcoin που να φτάνουν στο σημείο να χαρακτηρίζουν το περιστατικό καθαρά white-hat hacking.

Η άποψη περί black hat

Η αντίθετη πλευρά αυτής της συζήτησης ενδιαφέρεται περισσότερο για το γεγονός ότι οι hackers εξακολουθούν να κατέχουν 600 Bitcoin που προήλθαν από το περιστατικό, παρά για τα 3.400 που έχουν ήδη επιστραφεί. Ο developer του Bitcoin και συγγραφέας διαφόρων Bitcoin Improvement Proposals (BIPs), Calvin Kim, προειδοποίησε ότι η αποδοχή του μεριδίου 15% στέλνει ένα σαφές μήνυμα. 

Προβολή ανάρτησης στο X Φόρτωση...

Το tweet διαγράφηκε από τον συγγραφέα.

Αλλά αποθηκεύσαμε τα πάντα 🙂.

«Χάκαρε ανθρώπους και πάρε 15%. Δεν θεωρείται καν κλοπή!» έγραψε. «Με αυτόν τον ρυθμό, δεν θα εκπλαγώ αν δούμε ανθρώπους να υποβάλλουν [pull requests] με ευπάθειες, ώστε να μπορούν να χακάρουν και να πάρουν το 15% τους.»

Ο CTO της Ledger, Charles Guillemet, το χαρακτήρισε «ξεκάθαρο εκβιασμό». «Αν αυτοί οι άνθρωποι ήταν ειλικρινείς, θα είχαν επικοινωνήσει με την Blockstream και θα είχαν εξηγήσει την ευπάθεια στην ομάδα ασφάλειας», έγραψε. «Από εκεί και πέρα, η Blockstream θα αποφάσιζε τι ήταν καλύτερο για το Liquid και τους χρήστες του: να暂停σει το δίκτυο, να διορθώσει την ευπάθεια και στη συνέχεια να καταβάλει bounty στον ερευνητή ή στους ερευνητές. Οποιαδήποτε άλλη συμπεριφορά αποτελεί εκβιασμό». Σε προηγούμενη ανάρτηση, μετά την επιστροφή των 3.400 Bitcoin, δήλωσε επίσης: «Μοιάζει περισσότερο με εκβιασμό παρά με white-hat hacking!»

Προβολή ανάρτησης στο X Φόρτωση...

Το tweet διαγράφηκε από τον συγγραφέα.

Αλλά αποθηκεύσαμε τα πάντα 🙂.

Ο προαναφερθείς Hamilton ήταν εξίσου άμεσος. «Δεν γνωρίζουμε τι έκαναν οι κρυπτογραφημένες επικοινωνίες, αλλά το να κρατάς τα κεφάλαια ενώ διαπραγματεύεσαι μερίδιο δεν αποτελεί συμπεριφορά white hat», έγραψε απαντώντας στον Sztorc. Σε ξεχωριστή συζήτηση, ο Hamilton επισήμανε επίσης ότι ολόκληρο το πλαίσιο του white hat ξεκίνησε από τους επιτιθέμενους. «Δεν θα χρησιμοποιούσαμε καν τη φράση white hat αν ο επιτιθέμενος δεν είχε ξεκινήσει ολόκληρο το framing του παραθύρου αποδοχής, αυτοπροσδιοριζόμενος ως white hat. Όχι ευχαριστώ, δεν θα ξεκινήσω τη συζήτηση αποδεχόμενος το δικό τους πλαίσιο.»

Κανείς δεν μπορεί απλώς να αυτοαποκαλείται ‘white hat’

Αξίζει επίσης να σημειωθεί ότι η αυτοανακηρυχθείσα ταυτότητα “white hat” μπορεί να μην έχει σημασία στο δικαστήριο. Η ιδρύτρια της Gart, Alena Vránová, έγραψε ότι η εκμετάλλευση του bug, η λήψη 4.000 Bitcoin και η απαίτηση για διόρθωση συνιστούν εκβιασμό. «Αυτό μπορεί να σημαίνει κακουργηματικές κατηγορίες και πολυετή φυλάκιση», πρόσθεσε. «Στις ΗΠΑ έως και 20 χρόνια, ενώ οι κατηγορίες για ηλεκτρονική απάτη μπορούν να προσθέσουν ακόμη περισσότερα». Σε επόμενες αναρτήσεις περιέγραψε τα στοιχεία που εξετάζουν τα δικαστήρια, δηλαδή μια απαίτηση, μια απειλή πρόκλησης βλάβης αν η απαίτηση δεν ικανοποιηθεί και πρόθεση απόκτησης περιουσίας ή πλεονεκτήματος. «Δεν μπορούν να “πάρουν ή να κρατήσουν κάτι ως bounty”», έγραψε. «Αν το κάνουν, πρόκειται για κλοπή + εκβιασμό + απάτη.»

Προβολή ανάρτησης στο X Φόρτωση...

Το tweet διαγράφηκε από τον συγγραφέα.

Αλλά αποθηκεύσαμε τα πάντα 🙂.

Ο τεχνικός συντάκτης του Bitcoin Magazine, γνωστός με το ψευδώνυμο Shinobi, διατύπωσε παρόμοια άποψη μετά τη μερική επιστροφή των αντληθέντων κεφαλαίων. Αν το μέρος είχε επιστρέψει το 100%, υποστήριξε, θα ήταν πιθανό ένα bounty «εντελώς εντός του νομικού πλαισίου». Η παρακράτηση μεριδίου μετά από δημόσια διαπραγμάτευση, έγραψε, τους αφήνει «εντελώς εκτεθειμένους για εκβιασμό που διαπράχθηκε κυριολεκτικά δημόσια».

Προβολή ανάρτησης στο X Φόρτωση...

Το tweet διαγράφηκε από τον συγγραφέα.

Αλλά αποθηκεύσαμε τα πάντα 🙂.

Μια απώλεια που το Liquid θα δυσκολευτεί να ανακτήσει

Ένα σημείο που έχει κάπως χαθεί στη συζήτηση είναι ότι το Liquid δεν υπήρξε ποτέ ισχυρή πηγή εσόδων και εδώ και καιρό αποτελεί αντικείμενο χλευασμού λόγω της σχετικά περιορισμένης χρήσης του. Χιουμοριστικά, όταν ένας χρήστης του X ρώτησε πόσο χρόνο θα χρειαζόταν υποθετικά το Liquid Network για να καλύψει το τρέχον έλλειμμα των 600 Bitcoin μόνο από τα transaction fees, το Grok εκτίμησε ότι θα χρειάζονταν περίπου 258 χρόνια.

Ωστόσο, η Blockstream κατέστησε σαφές ότι δεν πρόκειται να πληρώσει αυτό που θεωρεί λύτρα σχετικά με το hack του Liquid Network. Στο X, η εταιρεία δήλωσε: «Η Blockstream δεν θα πληρώσει λύτρα για την επιστροφή κλεμμένων κεφαλαίων. Η αφαίρεση περιουσιακών στοιχείων χωρίς εξουσιοδότηση και η παρακράτηση της επιστροφής τους αποτελεί έγκλημα, όχι υπεύθυνη γνωστοποίηση. Δεν αποτελεί white-hat δραστηριότητα. Είναι κλοπή.»