Peretasan Liquid Network: White hat, black hat, atau sesuatu yang lain?

​Pihak yang mengeksploitasi Liquid Network pertama kali mengidentifikasi dirinya sebagai aktor white hat melalui pesan on-chain. Namun, label tersebut tidak diterima oleh sebagian besar pengguna Bitcoin. Setelah sekitar 4.000 Bitcoin keluar dari dompet federasi multisig yang mendukung Liquid Bitcoin (L-BTC) di Liquid Network, pihak yang sama mengembalikan 3.400 Bitcoin dan menyimpan sekitar 598,5 Bitcoin untuk dirinya sendiri, yang saat itu bernilai sekitar $47 juta ketika dana tersebut dikuras. Diskusi yang menyusul di Bitcoin Twitter terkadang berubah menjadi perdebatan sengit mengenai apakah sisa dana tersebut merupakan bug bounty, tebusan, atau sesuatu yang lain.

Meninjau apa yang terjadi

Pada 6 September, bug konsensus dalam Elements, yaitu software open-source yang mendukung Liquid, memungkinkan suatu pihak menciptakan sekitar 4.000 L-BTC yang tidak didukung oleh deposit terkait apa pun di blockchain Bitcoin dasar. Chainalysis kemudian menjelaskan bahwa celah tersebut berkaitan dengan cara node Liquid menyimpan cache pemeriksaan range-proof yang digunakan oleh teknologi peningkat privasi Liquid, yang dikenal sebagai Confidential Transactions. Data yang tidak valid dapat diperlakukan sebagai hasil yang telah diverifikasi sebelumnya, sehingga penyerang dapat mencetak L-BTC tanpa dukungan aset.

Liquid Federation merilis sekitar 3.996 Bitcoin ke alamat tujuan di blockchain Bitcoin karena transaksi tersebut tampak melibatkan pembakaran L-BTC yang sah dan valid. Perlu diperjelas, tidak ada kunci federasi yang dicuri atau disusupi dalam serangan ini. Meski demikian, SideSwap mengakui tanggung jawab atas peran mereka sendiri dalam insiden tersebut karena belum menerapkan pemeriksaan kewajaran atau jeda waktu yang memadai terkait sistem peg-out otomatis mereka. “Desain itulah yang mengubah peristiwa yang dapat dibatalkan di Liquid menjadi pembayaran yang tidak dapat dibatalkan di Bitcoin,” tulis SideSwap.

Pada akhirnya, peretas mengirim kembali 3.400 Bitcoin ke alamat federasi dan menyimpan sisanya. Pembicaraan antara kedua pihak terus berlangsung melalui transaksi OP_RETURN yang dipublikasikan ke blockchain Bitcoin sejak saat itu; namun, saat ini belum jelas apakah para peretas akan mengirimkan lebih banyak dana kembali ke alamat federasi setelah negosiasi publik semakin memanas.

Fakta bahwa para peretas masih memegang hampir 600 Bitcoin telah memicu perdebatan mengenai bagaimana insiden ini seharusnya diklasifikasikan. Sebagian pengguna Bitcoin dan orang dalam industri kripto menganggapnya sebagai bounty tidak resmi yang diperoleh setelah kegagalan keamanan yang ceroboh, sementara pihak lain menyatakan bahwa menahan koin sambil menuntut perbaikan, lalu menyimpan sebagian hasilnya, paling-paling merupakan tindakan grey hat dan paling buruk merupakan pemerasan kriminal.

Pendukung pandangan grey hat

CEO Layer Two Labs sekaligus penemu drivechain, Paul Sztorc, berpendapat, “Menurut saya, tip 15% itu cukup wajar.” Tanpa pembayaran, tulisnya, insentifnya adalah “segera ambil SEMUA koin,” “segera MIX semuanya,” dan “JANGAN menghubungi siapa pun, selamanya.” Ia kemudian menambahkan bahwa kurangnya rasa terima kasih atas 3.400 Bitcoin yang dikembalikan, sebagaimana ia melihatnya, “menurut saya memang cukup keterlaluan.”

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Co-founder USDT0 Lorenzo Romagnoli juga menyampaikan argumen yang bersimpati kepada peretas Liquid Network dalam diskusi bolak-balik dengan CEO AnchorWatch Rob Hamilton. “Dia benar-benar mengembalikan 3.400 BTC, Anda tidak tahu betapa kecil kemungkinannya hal ini terjadi,” tulisnya, seraya menambahkan bahwa “[North Korea] akan menghancurkan semuanya, itu black hat.”

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Penulis The Bitcoin-Dollar, Mark Goodwin, menyampaikan sentimen serupa dengan menulis, “Bayangkan hampir 300 juta dikembalikan kepada Anda oleh seorang peretas setelah Anda dan 14 teman Anda gagal menyimpannya dengan aman, lalu Anda masih mengeluh?”

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Perlu diperjelas, tampaknya tidak ada orang dalam industri Bitcoin terkemuka yang sampai menyebut ini sebagai insiden peretasan yang sepenuhnya white hat.

Kasus black hat

Kubu yang berseberangan dalam diskusi ini lebih menyoroti fakta bahwa para peretas masih memegang 600 Bitcoin yang berasal dari insiden tersebut, bukan 3.400 Bitcoin yang telah dikembalikan. Pengembang Bitcoin dan penulis berbagai Bitcoin Improvement Proposals (BIP), Calvin Kim, memperingatkan bahwa menganggap potongan 15% dapat diterima akan mengirimkan pesan yang jelas. 

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

“Retas orang dan ambil 15%. Bahkan itu tidak dianggap sebagai pencurian!” tulisnya. “Dengan laju seperti ini, saya tidak akan terkejut jika ada orang yang membuat [pull requests] berisi kerentanan agar mereka bisa meretas dan mendapatkan 15%.”

CTO Ledger Charles Guillemet menyebutnya sebagai “pemerasan murni.” “Jika orang-orang ini jujur, mereka akan menghubungi Blockstream dan menjelaskan kerentanannya kepada tim keamanan,” tulisnya. “Setelah itu, Blockstream akan memutuskan apa yang terbaik bagi Liquid dan penggunanya: menjeda jaringan, memperbaiki kerentanan, lalu membayar bounty kepada peneliti. Perilaku apa pun selain itu adalah pemerasan.” Dalam unggahan sebelumnya, setelah 3.400 Bitcoin dikembalikan, ia juga menyatakan, “Ini terlihat lebih seperti pemerasan daripada peretasan white hat!”

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Hamilton yang telah disebutkan sebelumnya juga bersikap sama tegasnya. “Kami tidak tahu apa yang dilakukan komunikasi terenkripsi tersebut, tetapi menahan dana sambil menegosiasikan bagian bukanlah perilaku white hat,” tulisnya sebagai balasan kepada Sztorc. Dalam percakapan terpisah, Hamilton juga menunjukkan bahwa seluruh kerangka white hat tersebut berasal dari para penyerang. “Kita bahkan tidak akan menggunakan istilah white hat jika penyerang tidak memulai seluruh pembingkaian dengan secara terbuka mengidentifikasi dirinya sebagai white hat. Tidak, terima kasih—saya tidak akan memulai percakapan dengan menerima kerangka mereka.”

Seseorang tidak bisa begitu saja menyebut dirinya ‘white hat’

Perlu dicatat juga bahwa label “white hat” yang diklaim sendiri mungkin tidak relevan di pengadilan. Pendiri Gart, Alena Vránová, menulis bahwa mengeksploitasi bug, mengambil 4.000 Bitcoin, dan menuntut perbaikan merupakan pemerasan. “Ini dapat berarti dakwaan kejahatan berat dan hukuman penjara yang panjang,” tambahnya. “Di AS, hingga 20 tahun, dan dakwaan penipuan komputer dapat menambah hukuman lagi.” Dalam unggahan lanjutan, ia menguraikan unsur-unsur yang dicari pengadilan, yaitu adanya tuntutan, ancaman kerugian jika tuntutan tidak dipenuhi, serta niat untuk memperoleh properti atau keuntungan. “Mereka tidak bisa ‘mengambil atau menyimpan sesuatu sebagai bounty,’” tulisnya. “Jika mereka melakukannya, itu adalah pencurian + pemerasan + penipuan.”

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Editor teknis Bitcoin Magazine yang pseudonim, Shinobi, menyampaikan poin serupa setelah sebagian dana yang dikuras dikembalikan. Jika pihak tersebut mengembalikan 100%, menurutnya, bounty mungkin saja diberikan “sepenuhnya aman secara hukum.” Namun, ia menulis bahwa menyimpan sebagian dana setelah negosiasi publik membuat mereka “benar-benar jelas terbukti melakukan pemerasan yang dilakukan secara terbuka.”

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Kerugian yang sulit diperoleh kembali oleh Liquid

Satu poin yang agak terlewat dalam diskusi ini adalah bahwa Liquid tidak pernah menjadi penghasil pendapatan yang kuat dan telah lama diejek karena penggunaannya yang relatif terbatas. Secara jenaka, ketika ditanya oleh pengguna X berapa lama waktu yang secara hipotetis dibutuhkan Liquid Network untuk menutup defisit 600 Bitcoin saat ini hanya dari biaya transaksi, Grok memperkirakan diperlukan sekitar 258 tahun.

Meski demikian, Blockstream menjelaskan bahwa mereka tidak akan membayar apa yang mereka anggap sebagai tebusan terkait peretasan Liquid Network. Di X, perusahaan tersebut menyatakan, “Blockstream tidak akan membayar tebusan untuk pengembalian dana yang dicuri. Mengambil aset tanpa izin dan menahan pengembaliannya adalah kejahatan, bukan pengungkapan yang bertanggung jawab. Itu bukan aktivitas white hat. Itu adalah pencurian.”