Liquid Network हैक: व्हाइट-हैट, ब्लैक-हैट या कुछ और?

​Liquid Network का शोषण करने वाली पार्टी ने सबसे पहले ऑन-चेन संदेश में खुद को व्हाइट-हैट अभिनेता बताया। लेकिन Bitcoin यूज़रबेस के बड़े हिस्से ने इस लेबल को स्वीकार नहीं किया है। Liquid Network पर Liquid Bitcoin (L-BTC) को समर्थन देने वाले मल्टीसिग फेडरेशन वॉलेट से लगभग 4,000 Bitcoin निकलने के बाद, उसी पार्टी ने 3,400 Bitcoin वापस कर दिए और लगभग 598.5 Bitcoin अपने पास रख लिए, जिनकी कीमत निकासी के समय लगभग $47 मिलियन थी। इसके बाद Bitcoin Twitter पर हुई चर्चा कई बार इस तीखी बहस में बदल गई कि बची हुई यह राशि बग बाउंटी है, फिरौती है या कुछ और।

क्या हुआ, इसकी समीक्षा

6 सितंबर को Elements में मौजूद एक कंसेंसस बग ने—जो Liquid को संचालित करने वाला ओपन-सोर्स सॉफ्टवेयर है—एक पार्टी को लगभग 4,000 L-BTC बनाने की अनुमति दी, जिनके पीछे बेस Bitcoin ब्लॉकचेन पर कोई संबंधित जमा नहीं था। बाद में Chainalysis ने इस खामी को Liquid की प्राइवेसी बढ़ाने वाली तकनीक, जिसे Confidential Transactions कहा जाता है, में इस्तेमाल होने वाली रेंज-प्रूफ जांचों को Liquid नोड्स द्वारा कैश करने के तरीके की समस्या बताया। अमान्य डेटा को पहले से सत्यापित परिणाम माना जा सकता था, जिससे हमलावर बिना समर्थन वाले L-BTC मिंट कर सके।

Liquid Federation ने Bitcoin ब्लॉकचेन पर डेस्टिनेशन एड्रेस में लगभग 3,996 Bitcoin जारी कर दिए, क्योंकि लेनदेन में वैध L-BTC को बर्न किया जाना प्रतीत हुआ। स्पष्ट रूप से कहें तो हमले में फेडरेशन की कोई कुंजी चोरी या हैक नहीं हुई। हालांकि, SideSwap ने घटना में अपनी भूमिका की जिम्मेदारी ली, क्योंकि उन्होंने अपने ऑटोमेटेड पेग-आउट सिस्टम से संबंधित पर्याप्त सैनिटी चेक या समय विलंब लागू नहीं किए थे। SideSwap ने लिखा, “यही डिज़ाइन Liquid पर एक रिवर्स किए जा सकने वाले इवेंट को Bitcoin पर अपरिवर्तनीय भुगतान में बदलने का कारण बना।”

अंततः, हैकरों ने फेडरेशन एड्रेस पर 3,400 Bitcoin वापस भेजे और बाकी अपने पास रख लिए। इसके बाद से दोनों पक्षों के बीच बातचीत Bitcoin ब्लॉकचेन पर प्रकाशित OP_RETURN लेनदेन के माध्यम से जारी है; हालांकि, सार्वजनिक बातचीत के लगातार अधिक तीखी होने के बाद यह स्पष्ट नहीं है कि हैकर फेडरेशन एड्रेस पर और धनराशि वापस भेजेंगे या नहीं।

हैकरों के पास अभी भी लगभग 600 Bitcoin होने के तथ्य ने इस बात पर बहस छेड़ दी है कि इस घटना को किस रूप में वर्गीकृत किया जाना चाहिए। कुछ Bitcoin यूज़र और क्रिप्टो इंडस्ट्री के अंदरूनी लोग इसे लापरवाही से हुई सुरक्षा विफलता के बाद वसूली गई अनौपचारिक बाउंटी मानते हैं, जबकि अन्य का दावा है कि पैच की मांग करते हुए कॉइन अपने पास रखना और फिर उनमें से हिस्सा रखना, अधिक से अधिक ग्रे-हैट और सबसे खराब स्थिति में आपराधिक जबरन वसूली है।

ग्रे-हैट दृष्टिकोण के समर्थक

Layer Two Labs के CEO और drivechains के आविष्कारक Paul Sztorc ने तर्क दिया, “मुझे लगता है कि 15% टिप काफी उचित है।” उन्होंने लिखा कि किसी भुगतान के बिना प्रोत्साहन होगा: “सारे कॉइन तुरंत ले लो,” “उन्हें तुरंत MIX करो,” और “कभी भी किसी से संपर्क मत करो।” बाद में उन्होंने यह भी कहा कि लौटाए गए 3,400 Bitcoin के लिए उनके अनुसार आभार की कमी “मुझे सचमुच काफी गलत लगती है।”

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

USDT0 के सह-संस्थापक Lorenzo Romagnoli ने भी AnchorWatch के CEO Rob Hamilton के साथ बातचीत में Liquid Network हैकर के प्रति सहानुभूति रखने वाले तर्क साझा किए। उन्होंने लिखा, “उसने सचमुच 3,400 BTC वापस किए हैं, आपको अंदाजा भी नहीं है कि यह कितना असंभावित है,” और आगे कहा कि “[North Korea] पूरी चीज़ को तबाह कर देता, वह ब्लैक-हैट होता।”

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

The Bitcoin-Dollar के लेखक Mark Goodwin ने भी इसी तरह की भावना व्यक्त करते हुए पोस्ट किया, “कल्पना कीजिए कि एक हैकर आपके और आपके 14 दोस्तों द्वारा इसे सुरक्षित रूप से रखने में विफल रहने के बाद लगभग 300 मिलियन वापस कर दे और फिर आप उसकी शिकायत करें?”

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

स्पष्ट रूप से कहें तो Bitcoin इंडस्ट्री के ऐसे कोई प्रमुख अंदरूनी लोग दिखाई नहीं देते जो इसे पूरी तरह व्हाइट-हैट हैकिंग घटना कहने तक जाएं।

ब्लैक-हैट का पक्ष

इस चर्चा का विरोधी पक्ष लौटाए जा चुके 3,400 Bitcoin की तुलना में इस तथ्य में अधिक रुचि रखता है कि हैकरों के पास अभी भी घटना से प्राप्त 600 Bitcoin हैं। Bitcoin डेवलपर और विभिन्न Bitcoin Improvement Proposals (BIPs) के लेखक Calvin Kim ने चेतावनी दी कि 15% हिस्से को स्वीकार्य मानना एक स्पष्ट संदेश देता है। 

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

उन्होंने लिखा, “लोगों को हैक करो और 15% ले लो। इसे चोरी तक नहीं माना जा रहा!” उन्होंने कहा, “अगर यही गति रही तो मुझे आश्चर्य नहीं होगा अगर लोग ऐसी कमजोरियों वाले [pull requests] भेजने लगें, ताकि वे हैक कर सकें और अपना 15% ले सकें।”

Ledger के CTO Charles Guillemet ने इसे “सीधी जबरन वसूली” कहा। उन्होंने लिखा, “अगर ये लोग ईमानदार होते, तो वे Blockstream से संपर्क करते और सुरक्षा टीम को कमजोरी के बारे में बताते। इसके बाद Blockstream तय करता कि Liquid और उसके यूज़र्स के लिए क्या बेहतर है: नेटवर्क को रोकना, कमजोरी ठीक करना और फिर शोधकर्ता(ओं) को बाउंटी देना। कोई भी अन्य व्यवहार जबरन वसूली है।” इससे पहले, 3,400 Bitcoin लौटाए जाने के बाद एक पोस्ट में उन्होंने यह भी कहा था, “यह व्हाइट-हैट हैकिंग से अधिक जबरन वसूली जैसा लगता है!”

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

उपर्युक्त Hamilton भी उतने ही स्पष्ट रहे हैं। Sztorc को जवाब देते हुए उन्होंने लिखा, “हम नहीं जानते कि एन्क्रिप्टेड कम्युनिकेशन में क्या हो रहा था, लेकिन हिस्से के लिए बातचीत करते हुए राशि अपने पास रखना व्हाइट-हैट व्यवहार नहीं है।” एक अलग बातचीत में Hamilton ने यह भी बताया कि पूरा व्हाइट-हैट फ्रेम हमलावरों से शुरू हुआ था। “अगर हमलावर ने खुद को व्हाइट-हैट बताकर पूरी धारणा की दिशा तय न की होती, तो हम व्हाइट-हैट शब्द का इस्तेमाल ही नहीं करते। नहीं धन्यवाद, मैं उनकी बनाई हुई रूपरेखा स्वीकार करके बातचीत शुरू नहीं करूंगा।”

कोई व्यक्ति खुद को मात्र ‘व्हाइट-हैट’ नहीं कह सकता

यह भी ध्यान देने योग्य है कि अदालत में स्वयं घोषित “व्हाइट-हैट” लेबल मायने नहीं रख सकता। Gart की संस्थापक Alena Vránová ने लिखा कि बग का फायदा उठाना, 4,000 Bitcoin लेना और समाधान की मांग करना जबरन वसूली है। उन्होंने आगे कहा, “इसका मतलब गंभीर आपराधिक आरोप और लंबे समय तक जेल हो सकता है। अमेरिका में 20 साल तक, और कंप्यूटर-फ्रॉड के आरोप इसमें और सजा जोड़ सकते हैं।” बाद की पोस्ट में उन्होंने उन तत्वों की रूपरेखा दी जिन्हें अदालतें देखती हैं—अर्थात मांग, मांग पूरी न होने पर नुकसान पहुंचाने की धमकी, और संपत्ति या किसी लाभ को हासिल करने का इरादा। उन्होंने लिखा, “वे ‘बाउंटी के रूप में कुछ ले या रख’ नहीं सकते।” “अगर वे ऐसा करते हैं, तो यह चोरी + जबरन वसूली + धोखाधड़ी है।”

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

छद्मनाम वाले Bitcoin Magazine के तकनीकी संपादक Shinobi ने निकाली गई धनराशि की आंशिक वापसी के बाद इसी तरह की बात कही। उनका तर्क था कि अगर पार्टी ने 100% वापस कर दिया होता, तो बाउंटी “पूरी तरह कानूनी रूप से सुरक्षित” हो सकती थी। उन्होंने लिखा कि सार्वजनिक बातचीत के बाद हिस्सा अपने पास रखने से वे “सार्वजनिक रूप से की गई जबरन वसूली के मामले में पूरी तरह फंस जाते हैं।”

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

ऐसा नुकसान जिसकी भरपाई Liquid के लिए कठिन होगी

इस चर्चा में एक बात कुछ हद तक छूट गई है कि Liquid कभी भी राजस्व का मजबूत स्रोत नहीं रहा और सीमित उपयोग के लिए लंबे समय से उसका मजाक उड़ाया जाता रहा है। मजाकिया तौर पर, जब X के एक यूज़र ने पूछा कि केवल लेनदेन शुल्क से मौजूदा 600 Bitcoin की कमी पूरी करने में Liquid Network को सैद्धांतिक रूप से कितना समय लगेगा, तो Grok ने अनुमान लगाया कि इसमें लगभग 258 साल लगेंगे।

हालांकि, Blockstream ने स्पष्ट कर दिया कि वे Liquid Network हैक से संबंधित उस रकम का भुगतान नहीं करेंगे, जिसे वे फिरौती मानते हैं। कंपनी ने X पर कहा, “चुराई गई धनराशि लौटाने के बदले फिरौती का भुगतान Blockstream नहीं करेगा। बिना अनुमति के संपत्तियां लेना और उनकी वापसी रोकना अपराध है, जिम्मेदार प्रकटीकरण नहीं। यह व्हाइट-हैट गतिविधि नहीं है। यह चोरी है।”