Liquid Networki häkkimine: white hat, black hat või midagi muud?

​Liquid Networki ära kasutanud osapool tuvastas end esmalt ahelasiseses sõnumis white-hat-häkkerina. Suur osa Bitcoini kasutajaskonnast ei ole seda määratlust siiski omaks võtnud. Pärast seda, kui Liquid Networki multisignatuuriga föderatsiooni rahakotist, mis tagab Liquid Bitcoini (L-BTC), lahkus ligikaudu 4 000 Bitcoini, tagastas sama osapool 3 400 Bitcoini ja jättis endale umbes 598,5 Bitcoini, mille väärtus oli äraviimise ajal ligikaudu 47 miljonit dollarit. Sellele järgnenud arutelu Bitcoin Twitteris muutus kohati ägedaks vaidluseks selle üle, kas alles jäänud summa kujutab endast bug bounty’t, lunaraha või midagi muud.

Juhtunu ülevaade

6. septembril võimaldas Liquidit käitava avatud lähtekoodiga tarkvara Elementsi konsensusviga osapoolel luua umbes 4 000 L-BTC-d, mida ei taganud ükski vastav sissemakse Bitcoini põhivõrgus. Chainalysis kirjeldas viga hiljem probleemina selles, kuidas Liquid sõlmed puhverdasid Liquid'i privaatsust suurendava tehnoloogia (tuntud kui Confidential Transactions) kasutatavate vahemikutõendite kontrolle. Kehtetuid andmeid võidi käsitleda varem kontrollitud tulemusena, mis võimaldas ründajatel tagatiseta L-BTC-d juurde emiteerida.

Liquid Federation vabastas Bitcoini plokiahelas sihtaadressile umbes 3 996 Bitcoini, sest tehing näis hõlmavat seaduslike ja kehtivate L-BTC-de põletamist. Selguse huvides: rünnaku käigus ei varastatud ega kompromiteeritud ühtegi föderatsiooni võtit. Sellest hoolimata võttis SideSwap vastutuse oma rolli eest intsidendis, sest nad ei olnud rakendanud piisavaid mõistlikkuse kontrolle ega ajalisi viivitusi seoses oma automatiseeritud peg-out-süsteemiga. „Just see lahendus muutis Liquidis tagasipööratava sündmuse Bitcoinis pöördumatuks makseks,“ kirjutas SideSwap.

Lõpuks saatsid häkkerid 3 400 Bitcoini tagasi föderatsiooni aadressile ja jätsid ülejäänu endale. Kahe osapoole vahelised läbirääkimised on sellest ajast jätkunud Bitcoini plokiahelas avaldatud OP_RETURN-tehingute kaudu; praegu pole aga selge, kas häkkerid saadavad föderatsiooni aadressile pärast avalikke läbirääkimisi veel raha tagasi, kuna need muutusid üha teravamaks.

Asjaolu, et häkkerid hoiavad endiselt enda käes ligi 600 Bitcoini, ongi tekitanud vaidluse selle üle, kuidas seda intsidenti tuleks liigitada. Mõned Bitcoini kasutajad ja krüptotööstuse siseringi liikmed käsitlevad seda kui mitteametlikku preemiat, mis saadi pärast lohakat turvariket, samas kui teised väidavad, et müntide enda käes hoidmine, samal ajal paiga nõudmine ja seejärel osa endale jätmine on parimal juhul grey-hat-tegevus ja halvimal juhul kuritegelik väljapressimine.

Grey-hat-käsitluse pooldajad

Layer Two Labsi tegevjuht ja drivechain’ide leiutaja Paul Sztorc väitis: „Minu arvates on 15% jootraha üsna mõistlik.“ Ilma mingi tasuta, kirjutas ta, oleks stiimuliks „võtta KOHE kõik mündid“, „segada need KOHE kõik ära“ ja „mitte KUNAGI kellegagi ühendust võtta“. Hiljem lisas ta, et tema hinnangul näis tänulikkuse puudumine tagastatud 3 400 Bitcoini eest „üsna räige“.

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

USDT0 kaasasutaja Lorenzo Romagnoli jagas samuti Liquid Networki häkkerit toetavaid argumente vestluses AnchorWatchi tegevjuhi Rob Hamiltoniga. „Ta andis sõna otseses mõttes 3 400 BTC tagasi, teil pole aimugi, kui ebatõenäoline see on,“ kirjutas ta, lisades, et „[Põhja-Korea] oleks kogu asja hävitanud, see oleks olnud black hat“.

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

Bitcoin-Dollari autor Mark Goodwin väljendas sarnast seisukohta, postitades: „Kujutage ette, et häkker tagastab teile peaaegu 300 miljonit dollarit pärast seda, kui teie ja 14 sõpra ei suutnud seda turvaliselt hoiustada, ning te siis kaebate selle üle?“

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

Selguse huvides: ei paista, et ükski prominentne Bitcoini valdkonna siseringi liige läheks nii kaugele, et nimetaks seda rangelt white-hat-häkkimise intsidendiks.

Black-hat’i käsitlus

Selle arutelu vastasleerile pakub rohkem huvi asjaolu, et häkkerid hoiavad endiselt enda käes intsidendist saadud 600 Bitcoini, mitte juba tagastatud 3 400 Bitcoini. Bitcoini arendaja ja mitme Bitcoin Improvement Proposal’i (BIP) autor Calvin Kim hoiatas, et 15% osa vastuvõetavaks pidamine saadab selge sõnumi. 

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

„Häkka inimesi ja võta 15%. Seda ei peetagi isegi varguseks!“ kirjutas ta. „Selle tempo juures ei üllataks mind, kui hakkaksime nägema inimesi, kes teevad haavatavustega [pull request’e], et nad saaksid häkkida ja oma 15% kätte saada.“

Ledgeri tehnoloogiajuht Charles Guillemet nimetas seda „otseseks väljapressimiseks“. „Kui need inimesed oleksid ausad, oleksid nad võtnud ühendust Blockstreamiga ja selgitanud turvameeskonnale haavatavust,“ kirjutas ta. „Seejärel oleks Blockstream otsustanud, mis on Liquidile ja selle kasutajatele parim: peatada võrk, parandada haavatavus ja seejärel maksta uurijale või uurijatele bug bounty. Igasugune muu käitumine on väljapressimine.“ Varasemas postituses, pärast 3 400 Bitcoini tagastamist, märkis ta samuti: „See näeb rohkem välja nagu väljapressimine kui white-hat-häkkimine!“

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

Eespool mainitud Hamilton oli sama otsekohene. „Me ei tea, mida krüpteeritud side endast kujutas, kuid summa enda käes hoidmine, samal ajal osa üle läbi rääkides, ei ole white-hat-käitumine,“ kirjutas ta Sztorcile vastuseks. Eraldi vestluses märkis Hamilton ka, et kogu white-hat-raamistik sai alguse ründajatest. „Me ei kasutaks isegi väljendit white hat, kui ründaja poleks kogu alatooni ja raamistust alustanud, nimetades end ise white hat’iks. Ei aitäh — ma ei alusta vestlust nende raamistiku omaksvõtmisega.“

Iseennast ei saa lihtsalt white hat’iks nimetada

Samuti tasub märkida, et enda kohta kasutatav „white hat’i“ silt ei pruugi kohtus tähtsust omada. Garti asutaja Alena Vránová kirjutas, et vea ärakasutamine, 4 000 Bitcoini võtmine ja paranduse nõudmine kujutavad endast väljapressimist. „See võib tähendada süüdistust raskes kuriteos ja pikka vangistust,“ lisas ta. „USA-s kuni 20 aastat ning arvutipettuse süüdistused võivad karistust veelgi pikendada.“ Järelpostitustes kirjeldas ta elemente, mida kohtud otsivad: nõue, kahju tekitamise ähvardus juhul, kui nõuet ei täideta, ning kavatsus saada vara või eelis. „Nad ei saa midagi ‘preemiana võtta või endale jätta’,“ kirjutas ta. „Kui nad seda teevad, on tegemist varguse + väljapressimise + pettusega.“

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

Varjunime all tegutsev Bitcoin Magazine’i tehniline toimetaja Shinobi esitas pärast äraviidud vahendite osalist tagastamist sarnase seisukoha. Kui osapool oleks saatnud 100% tagasi, võinuks preemia tema sõnul olla võimalik „täiesti seaduslikult“. Pärast avalikke läbirääkimisi osa endale jätmine jätab nad tema sõnul „väljapressimise osas sõna otseses mõttes otse teolt tabatuna“.

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

Kahjum, mida Liquidil oleks raske tagasi teenida

Üks arutelus mõnevõrra tahaplaanile jäänud punkt on see, et Liquid ei ole kunagi olnud tugev tuluallikas ning seda on pikka aega pilgatud suhteliselt piiratud kasutuse pärast. Humoorikalt hindas Grok X-i kasutaja küsimusele vastates, kui kaua kuluks Liquid Networkil praeguse 600 Bitcoini suuruse puudujäägi katmiseks üksnes tehingutasudest, et selleks kuluks umbes 258 aastat.

Sellest hoolimata tegi Blockstream selgeks, et nad ei maksa seda, mida nad peavad Liquid Networki häkkimisega seotud lunarahaks. Ettevõte teatas X-is: „Blockstream ei maksa varastatud vahendite tagastamise eest lunaraha. Varade loata võtmine ja nende tagastamise kinnihoidmine on kuritegu, mitte vastutustundlik haavatavusest teavitamine. See ei ole white-hat-tegevus. See on vargus.“