Liquid Network hackelés: white hat, black hat vagy valami más?

​A Liquid Networköt kihasználó fél először egy on-chain üzenetben azonosította magát white hat szereplőként. Ezt a megjelölést azonban a Bitcoin-felhasználók jelentős része nem fogadta el. Miután nagyjából 4 000 Bitcoin távozott a Liquid Networkön a Liquid Bitcoin (L-BTC) fedezetét biztosító multisig-federációs tárcából, ugyanaz a fél 3 400 Bitcoint visszaküldött, körülbelül 598,5 Bitcoint pedig megtartott magának. Ez az összeg a lecsapolás idején nagyjából 47 millió dollárt ért. A Bitcoin Twitteren ezt követően kialakult vita időnként intenzív eszmecserévé fajult arról, hogy a megmaradt összeg hibajavítási jutalom, váltságdíj vagy valami más.

A történtek áttekintése

Szeptember 6-án az Elementsben, a Liquid működését biztosító nyílt forráskódú szoftverben található konszenzushiba lehetővé tette, hogy egy fél körülbelül 4 000, a Bitcoin alaprétegén semmilyen megfelelő betéttel nem fedezett L-BTC-t hozzon létre. A Chainalysis később úgy írta le a hibát, mint a Liquid adatvédelmi technológiája, a Confidential Transactions által használt tartománybizonyíték-ellenőrzések Liquid-csomópontok általi gyorsítótárazásának problémáját. Az érvénytelen adatokat korábban ellenőrzött eredményként lehetett kezelni, így a támadók fedezetlen L-BTC-t verhettek.

A Liquid Federation körülbelül 3 996 Bitcoint utalt a Bitcoin blokkláncán található célcímre, mivel a tranzakció látszólag legitim, érvényes L-BTC elégetését tartalmazta. Fontos kiemelni, hogy a támadás során egyetlen federációs kulcsot sem loptak el, és azok nem kerültek illetéktelenekhez. Ennek ellenére a SideSwap felelősséget vállalt a saját szerepéért az incidensben, mivel nem vezettek be elegendő ésszerűségi ellenőrzést vagy időzítési késleltetést az automatizált peg-out rendszerükhöz. „Ez a kialakítás változtatott egy Liquid hálózaton visszafordítható eseményt visszafordíthatatlan Bitcoin-fizetéssé” – írta a SideSwap.

Végül a hackerek 3 400 Bitcoint visszaküldtek a federációs címre, a többit pedig megtartották. A két fél azóta is OP_RETURN-tranzakciókon keresztül egyeztet, amelyeket a Bitcoin blokkláncán tettek közzé; jelenleg azonban nem egyértelmű, hogy a hackerek további összegeket is visszaküldenek-e a federációs címre, miután a nyilvános tárgyalások egyre feszültebbé váltak.

Az, hogy a hackerek továbbra is csaknem 600 Bitcoint tartanak maguknál, vitát váltott ki arról, hogyan kellene minősíteni az incidenst. Egyes Bitcoin -felhasználók és a kriptoipar bennfentesei nem hivatalos jutalomként tekintenek rá, amelyet egy hanyag biztonsági hiba után vontak ki, mások szerint viszont az érmék visszatartása, miközben javítást követelnek, majd egy részt megtartanak, legjobb esetben is grey hat tevékenység, legrosszabb esetben pedig bűncselekménynek minősülő zsarolás.

A grey hat álláspont képviselői

A Layer Two Labs vezérigazgatója és a drivechain feltalálója, Paul Sztorc így érvelt: „Szerintem a 15%-os borravaló elég méltányos.” Mint írta, valamiféle fizetség nélkül az ösztönző az, hogy „azonnal elviszik az ÖSSZES érmét”, „azonnal összekeverik mindet”, és „SOHA nem lépnek kapcsolatba senkivel”. Később hozzátette, hogy a 3 400 visszaadott Bitcoinnal kapcsolatban érzékelt hálátlanság „szerintem elég durva”.

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

Az USDT0 társalapítója, Lorenzo Romagnoli szintén a Liquid Network hackerét támogató érveket osztott meg a témáról az AnchorWatch vezérigazgatójával, Rob Hamiltonnal folytatott beszélgetésben. „Szó szerint visszaadott 3 400 BTC-t, el sem tudjátok képzelni, ez mennyire valószínűtlen” – írta, majd hozzátette: „[Észak-Korea] az egészet tönkretette volna, az black hat lett volna.”

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

A Bitcoin-Dollar szerzője, Mark Goodwin hasonló véleményt fogalmazott meg: „Képzeld el, hogy egy hacker csaknem 300 millió dollárt visszajuttat neked, miután te és 14 barátod nem tudtátok biztonságosan tárolni, aztán még panaszkodsz is miatta.”

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

Azt azonban fontos kiemelni, hogy úgy tűnik, a Bitcoin-ipar egyetlen jelentős szereplője sem megy el odáig, hogy ezt szigorúan white hat hackerkedésként írja le.

A black hat álláspont

A vita ellenző tábora inkább arra összpontosít, hogy a hackerek továbbra is 600, az incidensből származó Bitcoint tartanak maguknál, mint a már visszaküldött 3 400-ra. Calvin Kim Bitcoin-fejlesztő és több Bitcoin Improvement Proposal (BIP) szerzője arra figyelmeztetett, hogy a 15%-os részesedés elfogadhatónak tekintése egyértelmű üzenetet küld. 

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

„Hackelj meg embereket és vegyél el 15%-ot. Ezt még csak lopásnak sem tekintik!” – írta. „Ebben a tempóban nem lepne meg, ha egyesek sebezhetőségeket tartalmazó [pull requesteket] küldenének be, hogy hackelhessenek, és megkaphassák a 15%-ukat.”

A Ledger technológiai igazgatója, Charles Guillemet „egyszerű zsarolásnak” nevezte az ügyet. „Ha ezek az emberek becsületesek lennének, felvették volna a kapcsolatot a Blockstreammel, és ismertették volna a sebezhetőséget a biztonsági csapattal” – írta. „Ezt követően a Blockstream eldönthette volna, mi a legjobb a Liquid és felhasználói számára: a hálózat leállítása, a sebezhetőség kijavítása, majd jutalom fizetése a kutatónak vagy kutatóknak. Minden más magatartás zsarolás.” Egy korábbi bejegyzésében, a 3 400 Bitcoin visszaküldése után azt is kijelentette: „Ez inkább zsarolásnak tűnik, mint white hat hackerkedésnek!”

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

A fent említett Hamilton hasonlóan egyértelműen fogalmazott. „Nem tudjuk, mit tettek a titkosított kommunikációs csatornák, de az összeg visszatartása, miközben részesedésről tárgyalnak, nem white hat viselkedés” – írta Sztorc bejegyzésére válaszolva. Egy külön beszélgetésben Hamilton arra is rámutatott, hogy a teljes white hat narratívát a támadók indították el. „A white hat kifejezést nem is használnánk, ha a támadó nem ő maga kezdte volna meg az egész értelmezési keretet azzal, hogy white hatként azonosította magát. Köszönjük, nem; nem fogadjuk el az általuk felállított keretet a beszélgetés kezdetén.”

Senki sem nevezheti egyszerűen saját magát „white hatnek”

Azt is érdemes megjegyezni, hogy a magát „white hatnek” nevező fél megjelölése a bíróságon nem feltétlenül számít. A Gart alapítója, Alena Vránová azt írta, hogy a hiba kihasználása, 4 000 Bitcoin elvétele és javítás követelése zsarolásnak minősül. „Ez súlyos bűncselekmény miatti vádemelést és hosszú börtönbüntetést jelenthet” – tette hozzá. „Az Egyesült Államokban akár 20 évet is, a számítógépes csalással kapcsolatos vádak pedig további büntetést vonhatnak maguk után.” Későbbi bejegyzéseiben felvázolta azokat az elemeket, amelyeket a bíróságok keresnek: követelés, a követelés teljesítésének elmaradása esetére kilátásba helyezett károkozással való fenyegetés, valamint tulajdon vagy előny megszerzésére irányuló szándék. „Nem lehet »jutalomként elvenni vagy megtartani valamit«” – írta. „Ha mégis ezt teszik, az lopás + zsarolás + csalás.”

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

A Bitcoin Magazine álnéven publikáló technikai szerkesztője, Shinobi hasonló álláspontot képviselt a lecsapolt pénzeszközök részleges visszaküldése után. Érvelése szerint ha a fél 100%-ot visszaküldött volna, jutalomra lehetett volna lehetőség, „teljesen jogszerű keretek között”. Ha azonban nyilvános tárgyalást követően megtartanak egy részt, az azt jelenti, hogy „nyilvánosan elkövetett zsarolás miatt teljesen egyértelműen tetten érhetők”.

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

Olyan veszteség, amelyet a Liquid nehezen tudna visszatermelni

A vita során valamelyest elsikkadt, hogy a Liquid soha nem volt jelentős bevételtermelő, és régóta gúny tárgya a viszonylag korlátozott használata miatt. Amikor egy X-felhasználó tréfásan megkérdezte, elméletileg mennyi időbe telne a Liquid Networknek, hogy kizárólag tranzakciós díjakból fedezze a jelenlegi 600 Bitcoin hiányt, a Grok becslése szerint körülbelül 258 évbe.

A Blockstream ugyanakkor egyértelművé tette, hogy nem fizet általuk a Liquid Network hackeléséhez kapcsolódó váltságdíjat. A vállalat az X-en kijelentette: „A Blockstream nem fizet váltságdíjat az ellopott pénzeszközök visszaszerzéséért. Az eszközök engedély nélküli elvétele és visszaszolgáltatásuk visszatartása bűncselekmény, nem felelős hibabejelentés. Ez nem white hat tevékenység. Ez lopás.”