Liquid Network -hakkerointi: white hat, black hat vai jotain muuta?

​Liquid Networkia hyödyntänyt taho ilmoitti ensin olevansa white hat -toimija lohkoketjuun lähetetyssä viestissä. Bitcoin-käyttäjien enemmistö ei kuitenkaan ole hyväksynyt tätä määritelmää. Kun noin 4 000 Bitcoinia siirtyi Liquid Bitcoinia (L-BTC) Liquid Networkissa tukevasta multisig-federaation lompakosta, sama taho palautti 3 400 Bitcoinia ja piti itsellään noin 598,5 Bitcoinia, joiden arvo oli varojen siirron aikaan noin 47 miljoonaa dollaria. Bitcoin Twitterissä seurannut keskustelu muuttui ajoittain kiivaaksi väittelyksi siitä, onko jäljelle jäänyt potti bugipalkkio, lunnaat vai jotain muuta.

Tapahtumien tarkastelu

Syyskuun 6. päivänä Liquidin taustalla olevan avoimen lähdekoodin ohjelmiston, Elementsin, konsensusbugi mahdollisti noin 4 000 L-BTC:n luomisen ilman vastaavaa talletusta Bitcoinin peruslohkoketjussa. Chainalysis kuvaili vikaa myöhemmin ongelmaksi siinä, miten Liquid-solmut välimuistittivat Liquidin yksityisyyttä parantavan teknologian, niin sanottujen Confidential Transactions -tapahtumien, käyttämiä vaihteluvälitodistusten tarkistuksia. Virheellisiä tietoja voitiin käsitellä aiemmin varmennettuna tuloksena, mikä mahdollisti katteettomien L-BTC:iden luomisen.

Liquid Federation vapautti Bitcoinin lohkoketjussa sijaitsevaan kohdeosoitteeseen noin 3 996 Bitcoinia, koska transaktio näytti sisältävän aidon ja kelvollisen L-BTC:n polttamisen. On tärkeää selventää, ettei federaation avaimia varastettu tai vaarannettu hyökkäyksessä. Tästä huolimatta SideSwap otti vastuun omasta roolistaan tapahtumassa, koska se ei ollut ottanut käyttöön riittäviä järkevyystarkistuksia tai viiveitä automaattiseen peg-out-järjestelmäänsä liittyen. ”Juuri tämä suunnittelu muutti Liquidissa peruutettavissa olevan tapahtuman peruuttamattomaksi maksuksi Bitcoinissa”, SideSwap kirjoitti.

Lopulta hakkerit lähettivät 3 400 Bitcoinia takaisin federaation osoitteeseen ja pitivät loput. Osapuolten väliset keskustelut ovat jatkuneet sittemmin Bitcoinin lohkoketjuun julkaistujen OP_RETURN-transaktioiden välityksellä. Tällä hetkellä ei kuitenkaan ole selvää, lähettävätkö hakkerit lisää varoja federaation osoitteeseen sen jälkeen, kun julkiset neuvottelut muuttuivat yhä kiivaammiksi.

Se, että hakkerit pitävät edelleen hallussaan lähes 600 Bitcoinia, on johtanut keskusteluun siitä, miten tapahtuma pitäisi luokitella. Jotkut Bitcoin -käyttäjät ja kryptovaluutta-alan sisäpiiriläiset pitävät sitä epävirallisena palkkiona, joka saatiin huolimattoman tietoturvaepäonnistumisen jälkeen, kun taas toisten mukaan kolikoiden hallussapito korjausta vaadittaessa ja osuuden pitäminen on parhaimmillaankin grey hat -toimintaa ja pahimmillaan rikollista kiristystä.

Grey hat -näkemyksen kannattajat

Layer Two Labsin toimitusjohtaja ja drivechainien keksijä Paul Sztorc totesi: ”Mielestäni 15 prosentin tippi on varsin kohtuullinen.” Ilman jonkinlaista maksua kannustin olisi hänen mukaansa ”ottaa KAIKKI kolikot välittömästi”, ”SEKOITTAA ne kaikki heti” ja ”olla ottamatta kehenkään yhteyttä, koskaan”. Hän lisäsi myöhemmin, että hänen kokemansa kiitollisuuden puute palautetuista 3 400 Bitcoinista ”vaikuttaa minusta melko pahalta”.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

USDT0:n perustaja Lorenzo Romagnoli esitti myös Liquid Networkin hakkeria myötäileviä näkemyksiä keskustellessaan AnchorWatchin toimitusjohtajan Rob Hamiltonin kanssa. ”Hän palautti kirjaimellisesti 3 400 BTC:tä, et voi käsittää, miten epätodennäköistä tämä on”, hän kirjoitti ja lisäsi, että ”[North Korea] olisi tuhonnut koko jutun, se olisi black hat”.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

The Bitcoin-Dollarin kirjoittaja Mark Goodwin ilmaisi samankaltaisen näkemyksen ja kirjoitti: ”Kuvittele, että hakkeri palauttaa sinulle lähes 300 miljoonaa, sen jälkeen kun sinä ja 14 ystävääsi ette onnistuneet säilyttämään sitä turvallisesti, ja sitten valitatte siitä?”

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

On kuitenkin syytä selventää, ettei yksikään merkittävä Bitcoin-alan sisäpiiriläinen vaikuta menevän niin pitkälle, että kutsuisi tätä puhtaasti white hat -hakkerointitapaukseksi.

Black hat -näkemys

Keskustelun vastapuolta kiinnostaa enemmän se, että hakkerit pitävät edelleen hallussaan tapahtumasta peräisin olevia 600 Bitcoinia, kuin se, että 3 400 Bitcoinia on jo palautettu. Bitcoin-kehittäjä ja useiden Bitcoin Improvement Proposals (BIP) -ehdotusten kirjoittaja Calvin Kim varoitti, että 15 prosentin osuuden hyväksyminen lähettää selvän viestin. 

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

”Hakkeroi ihmisiä ja ota 15 %. Sitä ei edes pidetä varkautena!” hän kirjoitti. ”Tällä tahdilla en yllättyisi, jos ihmiset alkaisivat tehdä [pull requests] -pyyntöjä haavoittuvuuksilla voidakseen hakkeroida ja saada 15 %.”

Ledgerin teknologiajohtaja Charles Guillemet kutsui toimintaa ”suoraksi kiristykseksi”. ”Jos nämä ihmiset olisivat rehellisiä, he olisivat ottaneet yhteyttä Blockstreamiin ja selittäneet haavoittuvuuden tietoturvatiimille”, hän kirjoitti. ”Sen jälkeen Blockstream olisi päättänyt, mikä olisi parasta Liquidille ja sen käyttäjille: verkon keskeyttäminen, haavoittuvuuden korjaaminen ja sen jälkeen palkkion maksaminen tutkijalle tai tutkijoille. Kaikki muu toiminta on kiristystä.” Aiemmassa julkaisussa, 3 400 Bitcoinin palauttamisen jälkeen, hän totesi myös: ”Tämä näyttää enemmän kiristykseltä kuin white hat -hakkeroinnilta!”

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Edellä mainittu Hamilton on ollut yhtä suorasukainen. ”Emme tiedä, mitä salattu viestintä koski, mutta potin pitäminen hallussa osuuden neuvottelemisen ajan ei ole white hat -toimintaa”, hän kirjoitti vastauksena Sztorcille. Eräässä toisessa keskustelussa Hamilton huomautti myös, että koko white hat -kehys sai alkunsa hyökkääjistä. ”Emme edes käyttäisi termiä white hat, ellei hyökkääjä olisi käynnistänyt koko sävyikkunan kehystämistä ilmoittamalla itse olevansa white hat. Ei kiitos, en aloita keskustelua hyväksymällä heidän kehystystään.”

Kukaan ei voi vain kutsua itseään ”white hatiksi”

On myös syytä huomata, ettei itse julistettu ”white hat” -määritelmä välttämättä merkitse oikeudessa mitään. Gartin perustaja Alena Vránová kirjoitti, että bugin hyödyntäminen, 4 000 Bitcoinin ottaminen ja korjauksen vaatiminen on kiristystä. ”Se voi tarkoittaa rikossyytteitä ja pitkää vankeusrangaistusta”, hän lisäsi. ”Yhdysvalloissa enintään 20 vuotta, ja tietokonepetossyytteet voivat lisätä rangaistusta.” Jatkopostauksissaan hän kuvasi tekijät, joita tuomioistuimet tarkastelevat: vaatimus, uhka vahingosta, jos vaatimukseen ei suostuta, sekä tarkoitus saada omaisuutta tai hyötyä. ”He eivät voi ’ottaa tai pitää jotain palkkiona’”, hän kirjoitti. ”Jos he tekevät niin, kyse on varkaudesta + kiristyksestä + petoksesta.”

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Pseudonyymi Bitcoin Magazinen tekninen päätoimittaja Shinobi esitti samanlaisen näkemyksen tyhjennettyjen varojen osittaisen palautuksen jälkeen. Jos taho olisi palauttanut 100 %, palkkio olisi hänen mukaansa voinut olla mahdollinen ”täysin lain sallimissa rajoissa”. Osuuden pitäminen julkisten neuvottelujen jälkeen jättää hänen mukaansa osapuolet ”kiistatta kiinni kiristyksestä, joka toteutettiin kirjaimellisesti julkisesti”.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Tappio, jonka Liquidilla olisi vaikeuksia kuroa umpeen

Yksi keskustelussa hieman sivuun jäänyt seikka on, ettei Liquid ole koskaan ollut merkittävä tulonlähde ja että sen suhteellisen rajallista käyttöä on pilkattu jo pitkään. Kun X-käyttäjä kysyi leikillään, kuinka kauan Liquid Networkilta kestäisi hypoteettisesti kattaa nykyinen 600 Bitcoinin alijäämä pelkillä transaktiomaksuilla, Grok arvioi siihen kuluvan noin 258 vuotta.

Blockstream teki kuitenkin selväksi, ettei se aio maksaa lunnaita, joita se pitää Liquid Network -hakkerointiin liittyvinä. Yhtiö totesi X:ssä: ”Blockstream ei maksa lunnaita varastettujen varojen palauttamisesta. Varojen ottaminen ilman lupaa ja niiden palauttamisesta pidättäytyminen on rikos, ei vastuullista haavoittuvuuden ilmoittamista. Se ei ole white hat -toimintaa. Se on varkautta.”