Hack di Liquid Network: white hat, black hat o qualcos’altro?

​La parte che ha sfruttato Liquid Network si è inizialmente identificata come attore white hat in un messaggio on-chain. Tuttavia, questa definizione non è stata accettata da gran parte della community Bitcoin. Dopo che circa 4,000 Bitcoin hanno lasciato il wallet della federazione multisig che garantisce Liquid Bitcoin (L-BTC) su Liquid Network, la stessa parte ha restituito 3,400 Bitcoin e ne ha trattenuti circa 598,5, per un valore di circa 47 milioni di dollari al momento del drenaggio, tenendoli per sé. La discussione che ne è seguita su Bitcoin Twitter si è trasformata a tratti in un acceso dibattito sul fatto che quei fondi residui rappresentino una bug bounty, un riscatto o qualcos’altro.

Ricostruzione dell’accaduto

Il 6 settembre, un bug di consenso in Elements, il software open source alla base di Liquid, ha permesso a una parte di creare circa 4,000 L-BTC non coperti da alcun deposito corrispondente sulla blockchain Bitcoin principale. Chainalysis ha successivamente descritto la vulnerabilità come un problema nel modo in cui i nodi Liquid memorizzavano nella cache i controlli delle range proof utilizzati dalla tecnologia di miglioramento della privacy di Liquid, nota come Confidential Transactions. Dati non validi potevano essere trattati come risultati verificati in precedenza, consentendo agli aggressori di coniare L-BTC non garantiti.

La Liquid Federation ha trasferito circa 3,996 Bitcoin all’indirizzo di destinazione sulla blockchain Bitcoin perché la transazione sembrava comportare il burn di L-BTC legittimi e validi. È importante chiarire che durante l’attacco non sono state rubate né compromesse chiavi della federazione. Detto questo, SideSwap si è assunta la responsabilità per il proprio ruolo nell’incidente, poiché non aveva implementato controlli di coerenza o ritardi temporali sufficienti in relazione al proprio sistema automatizzato di peg-out. “È stato questo design a trasformare un evento reversibile su Liquid in un pagamento irreversibile su Bitcoin”, ha scritto SideSwap.

Alla fine, gli hacker hanno restituito 3,400 Bitcoin all’indirizzo della federazione e hanno trattenuto il resto. Da allora, i colloqui tra le due parti sono proseguiti tramite transazioni OP_RETURN pubblicate sulla blockchain Bitcoin; tuttavia, non è al momento chiaro se gli hacker invieranno altri fondi all’indirizzo della federazione, dopo che le negoziazioni pubbliche si sono fatte sempre più accese.

Il fatto che gli hacker detengano ancora quasi 600 Bitcoin ha alimentato il dibattito su come classificare questo incidente. Alcuni utenti di Bitcoin e operatori del settore crypto lo considerano una ricompensa non ufficiale ottenuta dopo una grave falla di sicurezza, mentre altri sostengono che trattenere le monete chiedendo una patch e poi conservarne una quota sia, nel migliore dei casi, un comportamento grey hat e, nel peggiore, un’estorsione criminale.

Le argomentazioni a favore della tesi grey hat

Il CEO di Layer Two Labs e inventore delle drivechain Paul Sztorc ha dichiarato: “Credo che una mancia del 15% sia piuttosto ragionevole”. Senza un pagamento, ha scritto, l’incentivo sarebbe “prendere SUBITO tutte le monete”, “farne SUBITO il MIX” e “NON contattare mai nessuno”. In seguito ha aggiunto che quella che percepiva come una mancanza di gratitudine per i 3,400 Bitcoin restituiti “mi sembra davvero piuttosto assurda”.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Anche il cofondatore di USDT0 Lorenzo Romagnoli ha condiviso argomentazioni favorevoli all’hacker di Liquid Network in uno scambio con il CEO di AnchorWatch Rob Hamilton. “Ha letteralmente restituito 3,400 BTC, non hai idea di quanto sia improbabile”, ha scritto, aggiungendo che “[North Korea] avrebbe distrutto tutto, quello sarebbe stato un black hat”.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

L’autore di Bitcoin-Dollar Mark Goodwin ha espresso un sentimento simile, scrivendo: “Immaginate che un hacker vi restituisca quasi 300 milioni dopo che voi e 14 dei vostri amici non siete riusciti a custodirli in sicurezza, e poi vi lamentate?”

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Per chiarezza, non sembrano esserci esponenti di rilievo dell’industria Bitcoin che arrivino a definire questo episodio un attacco strettamente white hat.

La tesi black hat

Il campo opposto in questa discussione è più interessato al fatto che gli hacker detengano ancora 600 Bitcoin derivati dall’incidente che ai 3,400 già restituiti. Lo sviluppatore Bitcoin e autore di varie Bitcoin Improvement Proposal (BIP) Calvin Kim ha avvertito che considerare accettabile la quota del 15% invia un messaggio chiaro. 

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

“Hackerizza le persone e prendi il 15%. Non viene nemmeno considerato un furto!”, ha scritto. “Di questo passo non mi stupirei se arrivassero persone a presentare [pull request] con vulnerabilità per poter hackerare e ottenere il loro 15%.”

Il CTO di Ledger Charles Guillemet lo ha definito “una vera e propria estorsione”. “Se queste persone fossero state oneste, avrebbero contattato Blockstream e spiegato la vulnerabilità al team di sicurezza”, ha scritto. “A quel punto, Blockstream avrebbe deciso cosa fosse meglio per Liquid e i suoi utenti: mettere in pausa la rete, correggere la vulnerabilità e poi pagare al ricercatore o ai ricercatori una ricompensa. Qualsiasi altro comportamento è estorsione.” In un post precedente, dopo la restituzione dei 3,400 Bitcoin, aveva inoltre dichiarato: “Sembra più un’estorsione che un attacco white hat!”

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Anche il già citato Hamilton è stato altrettanto diretto. “Non sappiamo cosa stessero facendo le comunicazioni crittografate, ma trattenere i fondi mentre si negozia una quota non è un comportamento white hat”, ha scritto in risposta a Sztorc. In un’altra conversazione, Hamilton ha anche sottolineato che l’intera cornice white hat è stata introdotta dagli aggressori. “Non useremmo nemmeno l’espressione white hat se l’aggressore non avesse iniziato a impostare l’intera narrativa identificandosi come white hat. No grazie, non inizierò la conversazione accettando la loro impostazione.”

Non basta definirsi ‘white hat’

Vale inoltre la pena notare che l’etichetta autoattribuita di “white hat” potrebbe non avere alcun peso in tribunale. La fondatrice di Gart Alena Vránová ha scritto che sfruttare il bug, prendere 4,000 Bitcoin e chiedere una correzione costituisce estorsione. “Questo può comportare accuse per reati gravi e lunghi periodi di reclusione”, ha aggiunto. “Negli Stati Uniti fino a 20 anni, e le accuse di frode informatica possono aggiungere ulteriori pene.” Nei post successivi ha delineato gli elementi ricercati dai tribunali: una richiesta, una minaccia di danno in caso di mancato soddisfacimento della richiesta e l’intento di ottenere un bene o un vantaggio. “Non possono ‘prendere o trattenere qualcosa come ricompensa’”, ha scritto. “Se lo fanno, è furto + estorsione + frode.”

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

L’editor tecnico pseudonimo di Bitcoin Magazine, Shinobi, ha espresso un punto di vista simile dopo la restituzione parziale dei fondi sottratti. Se la parte avesse restituito il 100%, ha sostenuto, una ricompensa sarebbe stata possibile “in totale chiarezza dal punto di vista legale”. Trattenere una quota dopo una negoziazione pubblica, ha scritto, li lascia “inchiodati senza alcuna possibilità di scampo per un’estorsione letteralmente condotta in pubblico”.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Una perdita che Liquid faticherebbe a recuperare

Un aspetto in parte sfuggito alla discussione è che Liquid non è mai stato un forte generatore di ricavi ed è da tempo oggetto di scherno per il suo utilizzo relativamente limitato. In modo ironico, quando un utente di X ha chiesto quanto tempo impiegherebbe ipoteticamente Liquid Network a coprire l’attuale deficit di 600 Bitcoin contando solo sulle commissioni di transazione, Grok ha stimato circa 258 anni.

Detto questo, Blockstream ha chiarito che non pagherà quello che considera un riscatto legato all’hack di Liquid Network. Su X, la società ha dichiarato: “Blockstream non pagherà un riscatto per la restituzione dei fondi rubati. Prendere asset senza autorizzazione e rifiutarsi di restituirli è un crimine, non una divulgazione responsabile. Non è un’attività white hat. È un furto.”