פריצה ל-Liquid Network: כובע לבן, כובע שחור או משהו אחר?

​הגורם שניצל את Liquid Network זיהה את עצמו תחילה כשחקן בעל כוונות טובות בהודעה על גבי הבלוקצ'יין. אך התווית הזו לא התקבלה על ידי חלק גדול מקהילת משתמשי Bitcoin. לאחר שכ-4,000 Bitcoin יצאו מארנק הפדרציה במולטיסיג שתומך ב-Liquid Bitcoin ‏(L-BTC) ב-Liquid Network, אותו גורם החזיר 3,400 Bitcoin והשאיר לעצמו כ-598.5 Bitcoin, שהיו שווים כ-47 מיליון דולר בעת הריקון. הדיון שהתפתח לאחר מכן ב-Bitcoin Twitter הפך לעיתים לוויכוח סוער בשאלה אם היתרה הזו היא באג באונטי, כופר או משהו אחר.

בחינה של מה שקרה

ב-6 בספטמבר, באג קונצנזוס ב-Elements, תוכנת הקוד הפתוח שמפעילה את Liquid, אפשר לגורם מסוים ליצור כ-4,000 L-BTC שלא היו מגובים בפיקדון תואם בבלוקצ'יין הבסיסי של Bitcoin. ‏Chainalysis תיארה מאוחר יותר את הכשל כבעיה באופן שבו צומתי Liquid שמרו במטמון בדיקות הוכחות טווח, המשמשות את טכנולוגיית שיפור הפרטיות של Liquid, הידועה בשם Confidential Transactions. נתונים לא תקינים יכלו להיחשב כתוצאה שנבדקה בעבר, וכך אפשרו לתוקפים להנפיק L-BTC ללא גיבוי.

פדרציית Liquid שחררה כ-3,996 Bitcoin לכתובת היעד בבלוקצ'יין של Bitcoin, מכיוון שהעסקה נראתה כאילו היא כוללת שריפה של L-BTC לגיטימיים ותקפים. למען הסר ספק, מפתחות פדרציה לא נגנבו ולא נפרצו במתקפה. עם זאת, ‏SideSwap לקחה אחריות על חלקה באירוע, משום שלא יישמה בדיקות תקינות או עיכובים מספקים הקשורים למערכת ה-peg-out האוטומטית שלה. “התכנון הזה הוא שהפך אירוע הפיך ב-Liquid לתשלום בלתי הפיך ב-Bitcoin,” כתבה SideSwap.

בסופו של דבר, ההאקרים שלחו 3,400 Bitcoin בחזרה לכתובת הפדרציה והשאירו את היתר. מאז נמשכו השיחות בין שני הצדדים באמצעות עסקאות OP_RETURN שפורסמו לבלוקצ'יין של Bitcoin; עם זאת, כרגע לא ברור אם ההאקרים ישלחו כספים נוספים לכתובת הפדרציה לאחר שהמשא ומתן הפומבי הפך ליותר ויותר מתוח.

העובדה שההאקרים עדיין מחזיקים כמעט 600 Bitcoin היא שגרמה לוויכוח על אופן סיווג האירוע. חלק ממשתמשי Bitcoin ומבכירי תעשיית הקריפטו מתייחסים לכך לבאונטי לא רשמי שנגבה בעקבות כשל אבטחה רשלני, בעוד שאחרים טוענים שהחזקת המטבעות תוך דרישה לתיקון ולאחר מכן שמירת חלק מהם היא לכל היותר פעילות בכובע אפור, ובמקרה הגרוע סחיטה פלילית.

התומכים בעמדת הכובע האפור

מנכ״ל Layer Two Labs וממציא ה-drivechains, פול שטורץ, טען: “אני חושב שטיפ של 15% הוא סביר למדי.” ללא תשלום כלשהו, כתב, התמריץ הוא “לקחת מיד את כל המטבעות”, “לערבב מיד את כולם” ו“לא ליצור קשר עם אף אחד, לעולם”. מאוחר יותר הוסיף שמה שהוא תפס כחוסר הכרת תודה על החזרת 3,400 Bitcoin “נראה לי די מעוות”.

צפייה בפוסט ב-X בטעינה...

הציוץ נמחק על ידי המחבר.

אבל שמרנו הכל 🙂.

מייסד-שותף USDT0, לורנצו רומניולי, שיתף גם הוא טיעונים אוהדים להאקר של Liquid Network, בדיון עם מנכ״ל AnchorWatch, רוב המילטון. “הוא ממש החזיר 3,400 BTC, אין לכם מושג עד כמה זה לא סביר,” כתב, והוסיף ש“[North Korea] הייתה הורסת את כל העסק, זה היה black hat.”

צפייה בפוסט ב-X בטעינה...

הציוץ נמחק על ידי המחבר.

אבל שמרנו הכל 🙂.

מחבר Bitcoin-Dollar, מארק גודווין, הביע עמדה דומה וכתב: “תארו לעצמכם שהאקר מחזיר לכם כמעט 300mil אחרי שאתם ו-14 מחבריכם לא הצלחתם לאחסן את זה בבטחה, ואז אתם מתלוננים על כך?”

צפייה בפוסט ב-X בטעינה...

הציוץ נמחק על ידי המחבר.

אבל שמרנו הכל 🙂.

למען הסר ספק, לא נראה שיש בקרב בכירי תעשיית Bitcoin דמויות בולטות שמרחיקות לכת עד כדי תיאור האירוע כמתקפת black hat טהורה.

המקרה של הכובע השחור

המחנה הנגדי בדיון מתעניין יותר בעובדה שההאקרים עדיין מחזיקים 600 Bitcoin שמקורם באירוע מאשר ב-3,400 שכבר הוחזרו. מפתח Bitcoin ומחבר של הצעות שונות לשיפור Bitcoin ‏(BIPs), קלווין קים, הזהיר שהתייחסות לחלק של 15% כאל דבר מקובל משדרת מסר ברור. 

צפייה בפוסט ב-X בטעינה...

הציוץ נמחק על ידי המחבר.

אבל שמרנו הכל 🙂.

“תפרצו לאנשים למערכות וקחו 15%. זה אפילו לא נתפס כגניבה!” כתב. “בקצב הזה לא אתפלא אם נקבל אנשים שיגישו [pull requests] עם חולשות כדי שיוכלו לפרוץ ולקבל את ה-15% שלהם.”

מנהל הטכנולוגיות הראשי של Ledger, שארל גיימה, כינה זאת “סחיטה ישירה”. “אם האנשים האלה היו ישרים, הם היו פונים ל-Blockstream ומסבירים את החולשה לצוות האבטחה,” כתב. “משם, Blockstream הייתה מחליטה מה הטוב ביותר עבור Liquid ומשתמשיה: לעצור את הרשת, לתקן את החולשה ואז לשלם לחוקר או לחוקרים באונטי. כל התנהגות אחרת היא סחיטה.” בפוסט מוקדם יותר, לאחר שהוחזרו 3,400 Bitcoin, הוא גם הצהיר: “זה נראה יותר כמו סחיטה מאשר פריצה בכובע לבן!”

צפייה בפוסט ב-X בטעינה...

הציוץ נמחק על ידי המחבר.

אבל שמרנו הכל 🙂.

המילטון שהוזכר לעיל היה ישיר באותה מידה. “אנחנו לא יודעים מה עשו התקשורות המוצפנות, אבל להחזיק את הכספים תוך משא ומתן על חלק אינו התנהגות של כובע לבן,” כתב בתגובה לשטורץ. בשיחה נפרדת ציין המילטון גם שכל המסגור של כובע לבן התחיל אצל התוקפים. “לא היינו משתמשים בכלל במונח כובע לבן אילו התוקף לא היה מתחיל את כל מסגור חלון השיח בכך שזיהה את עצמו ככובע לבן. לא תודה, אני לא מתחיל את השיחה כשאני מקבל את המסגור שלהם.”

אי אפשר פשוט לכנות את עצמך ‘כובע לבן’

ראוי לציין גם שתווית ה“כובע הלבן” שהוענקה לעצמם אולי לא תהיה רלוונטית בבית המשפט. מייסדת Gart, אלנה וראנובה, כתבה שניצול הבאג, לקיחת 4,000 Bitcoin ודרישה לתיקון מהווים סחיטה. “המשמעות יכולה להיות אישומים בעבירות פליליות חמורות ומאסר ממושך,” הוסיפה. “בארה״ב עד 20 שנה, ואישומים בגין הונאת מחשבים יכולים להוסיף שנים נוספות.” בפוסטים המשך היא פירטה את היסודות שבתי המשפט מחפשים, כלומר דרישה, איום בפגיעה אם הדרישה לא תיענה, וכוונה להשיג רכוש או יתרון. “הם לא יכולים ‘לקחת או להשאיר משהו כבאג באונטי’,” כתבה. “אם הם עושים זאת, מדובר בגניבה + סחיטה + הונאה.”

צפייה בפוסט ב-X בטעינה...

הציוץ נמחק על ידי המחבר.

אבל שמרנו הכל 🙂.

העורך הטכני בעל השם הבדוי של Bitcoin Magazine, שינובי, העלה נקודה דומה לאחר ההחזרה החלקית של הכספים שנמשכו. אילו הגורם היה מחזיר 100%, טען, ייתכן שבאג באונטי היה אפשרי “כשמבחינה משפטית הכול נקי לחלוטין”. שמירת חלק לאחר משא ומתן פומבי, כתב, משאירה אותם “חשופים לחלוטין, עם הרשעה ברורה בסחיטה שבוצעה ממש בפומבי”.

צפייה בפוסט ב-X בטעינה...

הציוץ נמחק על ידי המחבר.

אבל שמרנו הכל 🙂.

הפסד ש-Liquid תתקשה להחזיר

נקודה אחת שאבדה במידה מסוימת בדיון היא ש-Liquid מעולם לא הייתה מחוללת הכנסות חזקה, ובמשך זמן רב לעגו לה בשל השימוש המוגבל יחסית בה. באופן משעשע, כשמשתמש X שאל כמה זמן יידרש באופן היפותטי ל-Liquid Network לכסות את הגירעון הנוכחי של 600 Bitcoin מעמלות עסקאות בלבד, Grok העריך שיידרשו כ-258 שנים.

עם זאת, Blockstream הבהירה שלא תשלם את מה שהיא תופסת ככופר הקשור לפריצה ל-Liquid Network. ב-X מסרה החברה: “Blockstream לא תשלם כופר תמורת השבת כספים גנובים. נטילת נכסים ללא הרשאה ומניעת השבתם היא פשע, לא דיווח אחראי על חולשה. זו אינה פעילות של כובע לבן. זו גניבה.”