Penggodaman Liquid Network: White hat, black hat atau sesuatu yang lain?

​Pihak yang mengeksploitasi Liquid Network mula-mula mengenal pasti diri mereka sebagai pelaku white hat dalam mesej on-chain. Namun, label itu tidak diterima oleh sebahagian besar komuniti pengguna Bitcoin. Selepas kira-kira 4,000 Bitcoin meninggalkan dompet multisig persekutuan yang menyokong Liquid Bitcoin (L-BTC) di Liquid Network, pihak yang sama memulangkan 3,400 Bitcoin dan menyimpan kira-kira 598.5 Bitcoin, bernilai sekitar $47 juta ketika dana itu dikeluarkan, untuk diri mereka sendiri. Perbincangan yang menyusul di Bitcoin Twitter kadangkala bertukar menjadi perdebatan sengit sama ada baki tersebut merupakan bug bounty, wang tebusan atau sesuatu yang lain.

Meneliti perkara yang berlaku

Pada 6 September, pepijat konsensus dalam Elements, iaitu perisian sumber terbuka yang mengendalikan Liquid, membolehkan sesebuah pihak mencipta kira-kira 4,000 L-BTC yang tidak disokong oleh sebarang deposit sepadan pada blockchain Bitcoin asas. Chainalysis kemudiannya menyifatkan kelemahan itu sebagai masalah dalam cara nod Liquid menyimpan cache semakan bukti julat yang digunakan oleh teknologi peningkatan privasi Liquid, yang dikenali sebagai Confidential Transactions. Data tidak sah boleh dianggap sebagai keputusan yang telah disahkan sebelum ini, sekali gus membolehkan penyerang mencetak L-BTC tanpa sandaran.

Liquid Federation melepaskan kira-kira 3,996 Bitcoin ke alamat destinasi pada blockchain Bitcoin kerana transaksi tersebut kelihatan seolah-olah melibatkan pembakaran L-BTC yang sah dan valid. Untuk menjelaskannya, tiada kunci persekutuan yang dicuri atau terjejas dalam serangan itu. Namun begitu, SideSwap mengambil tanggungjawab atas peranan mereka sendiri dalam insiden tersebut kerana mereka tidak melaksanakan semakan kewajaran atau kelewatan masa yang mencukupi berkaitan sistem peg-out automatik mereka. “Reka bentuk itulah yang menukar peristiwa yang boleh diterbalikkan di Liquid menjadi pembayaran yang tidak boleh diterbalikkan di Bitcoin,” tulis SideSwap.

Akhirnya, penggodam menghantar semula 3,400 Bitcoin ke alamat persekutuan dan menyimpan bakinya. Perbincangan antara kedua-dua pihak diteruskan melalui transaksi OP_RETURN yang diterbitkan ke blockchain Bitcoin sejak itu; namun, masih tidak jelas sama ada penggodam akan menghantar lebih banyak dana kembali ke alamat persekutuan selepas rundingan awam menjadi semakin tegang.

Hakikat bahawa penggodam masih memegang hampir 600 Bitcoin telah mencetuskan perdebatan tentang cara insiden ini harus diklasifikasikan. Sesetengah pengguna Bitcoin dan orang dalam industri kripto menganggapnya sebagai ganjaran tidak rasmi yang diperoleh selepas kegagalan keselamatan yang cuai, manakala pihak lain mendakwa bahawa memegang syiling tersebut sambil menuntut pembaikan, kemudian menyimpan sebahagian daripadanya, paling baik pun merupakan tindakan grey hat dan paling buruk ialah pemerasan jenayah.

Penyokong pandangan grey hat

Ketua Pegawai Eksekutif Layer Two Labs dan pencipta drivechain, Paul Sztorc, berhujah, “Saya rasa tip 15% itu agak munasabah.” Tanpa bayaran tertentu, tulisnya, insentifnya ialah “ambil SEMUA syiling serta-merta,” “MIX semuanya serta-merta,” dan “JANGAN hubungi sesiapa, selama-lamanya.” Kemudian beliau menambah bahawa apa yang dianggapnya sebagai kurang penghargaan terhadap 3,400 Bitcoin yang dipulangkan “pada pandangan saya memang agak keterlaluan.”

Lihat siaran di X Memuatkan...

Tweet telah dipadam oleh pengarang.

Tetapi kami telah menyimpan semuanya 🙂.

Pengasas bersama USDT0, Lorenzo Romagnoli, turut berkongsi hujah yang bersimpati dengan penggodam Liquid Network dalam perbualan berbalas dengan Ketua Pegawai Eksekutif AnchorWatch, Rob Hamilton. “Dia benar-benar memulangkan 3,400 BTC, anda langsung tidak tahu betapa mustahilnya perkara ini,” tulisnya sambil menambah bahawa “[North Korea] akan menghancurkan keseluruhannya, itu ialah black hat.”

Lihat siaran di X Memuatkan...

Tweet telah dipadam oleh pengarang.

Tetapi kami telah menyimpan semuanya 🙂.

Penulis Bitcoin-Dollar, Mark Goodwin, berkongsi sentimen yang serupa dengan menulis, “Bayangkan hampir 300mil dipulangkan kepada anda oleh seorang penggodam selepas anda dan 14 orang rakan gagal menyimpannya dengan selamat, kemudian anda pula mengadu tentangnya?”

Lihat siaran di X Memuatkan...

Tweet telah dipadam oleh pengarang.

Tetapi kami telah menyimpan semuanya 🙂.

Untuk menjelaskannya, nampaknya tiada orang dalam industri Bitcoin terkemuka yang menganggap insiden ini sebagai serangan penggodaman white hat sepenuhnya.

Kes black hat

Kem yang bertentangan dalam perbincangan ini lebih menumpukan kepada fakta bahawa penggodam masih memegang 600 Bitcoin yang diperoleh daripada insiden tersebut berbanding 3,400 Bitcoin yang telah dipulangkan. Pembangun Bitcoin dan penulis pelbagai Bitcoin Improvement Proposals (BIPs), Calvin Kim, memberi amaran bahawa menganggap potongan 15% sebagai boleh diterima menghantar mesej yang jelas. 

Lihat siaran di X Memuatkan...

Tweet telah dipadam oleh pengarang.

Tetapi kami telah menyimpan semuanya 🙂.

“Godam orang dan ambil 15%. Ia langsung tidak dianggap sebagai pencurian!” tulisnya. “Pada kadar ini, saya tidak akan terkejut jika ada yang membuat [pull requests] dengan kelemahan supaya mereka boleh menggodam dan mendapatkan 15% mereka.”

Ketua Pegawai Teknologi Ledger, Charles Guillemet, menyifatkannya sebagai “pemerasan secara terang-terangan.” “Jika mereka ini jujur, mereka sepatutnya menghubungi Blockstream dan menerangkan kelemahan tersebut kepada pasukan keselamatan,” tulisnya. “Selepas itu, Blockstream akan memutuskan perkara terbaik untuk Liquid dan penggunanya: menjeda rangkaian, membaiki kelemahan, kemudian membayar penyelidik ganjaran. Sebarang tingkah laku lain ialah pemerasan.” Dalam hantaran terdahulu, selepas 3,400 Bitcoin dipulangkan, beliau turut menyatakan, “Ia lebih menyerupai pemerasan berbanding penggodaman white hat!”

Lihat siaran di X Memuatkan...

Tweet telah dipadam oleh pengarang.

Tetapi kami telah menyimpan semuanya 🙂.

Hamilton yang disebut sebelum ini juga berterus terang. “Kami tidak tahu apa yang dilakukan oleh komunikasi yang disulitkan itu, tetapi memegang dana tersebut sambil merundingkan bahagian bukanlah tingkah laku white hat,” tulisnya sebagai balasan kepada Sztorc. Dalam perbualan berasingan, Hamilton turut menunjukkan bahawa keseluruhan bingkai white hat itu bermula daripada penyerang. “Kami tidak akan menggunakan istilah white hat jika penyerang tidak memulakan keseluruhan pembingkaian naratif dengan mengenal pasti diri mereka sebagai white hat. Tidak, terima kasih—kami tidak akan memulakan perbualan dengan menerima bingkai mereka.”

Seseorang tidak boleh begitu sahaja merujuk dirinya sebagai ‘white hat’

Perlu juga diperhatikan bahawa label “white hat” yang didakwa sendiri mungkin tidak penting di mahkamah. Pengasas Gart, Alena Vránová, menulis bahawa mengeksploitasi pepijat, mengambil 4,000 Bitcoin dan menuntut pembaikan ialah pemerasan. “Ini boleh membawa kepada pertuduhan jenayah berat dan hukuman penjara yang panjang,” tambahnya. “Di A.S., sehingga 20 tahun, dan pertuduhan penipuan komputer boleh menambah hukuman lagi.” Dalam hantaran susulan, beliau menggariskan unsur yang dicari oleh mahkamah, iaitu tuntutan, ancaman bahaya jika tuntutan itu tidak dipenuhi, serta niat untuk mendapatkan harta atau kelebihan. “Mereka tidak boleh ‘mengambil atau menyimpan sesuatu sebagai ganjaran,’” tulisnya. “Jika mereka berbuat demikian, ia ialah pencurian + pemerasan + penipuan.”

Lihat siaran di X Memuatkan...

Tweet telah dipadam oleh pengarang.

Tetapi kami telah menyimpan semuanya 🙂.

Editor teknikal Bitcoin Magazine yang menggunakan nama samaran Shinobi menyampaikan hujah yang serupa selepas sebahagian dana yang dikeluarkan itu dipulangkan. Jika pihak tersebut memulangkan 100%, katanya, ganjaran mungkin boleh diberikan “sepenuhnya dari sudut undang-undang.” Namun, menyimpan sebahagian selepas rundingan awam, tulisnya, menyebabkan mereka “jelas terbukti bersalah atas pemerasan yang dilakukan secara terbuka.”

Lihat siaran di X Memuatkan...

Tweet telah dipadam oleh pengarang.

Tetapi kami telah menyimpan semuanya 🙂.

Kerugian yang sukar diperoleh semula oleh Liquid

Satu perkara yang agak terlepas pandang dalam perbincangan ini ialah Liquid tidak pernah menjadi penjana pendapatan yang kukuh dan telah lama dipersendakan kerana penggunaannya yang agak terhad. Secara menggelikan, apabila seorang pengguna X bertanya berapa lama masa yang secara hipotetikal diperlukan oleh Liquid Network untuk menampung defisit semasa sebanyak 600 Bitcoin hanya melalui yuran transaksi, Grok menganggarkan ia akan mengambil masa kira-kira 258 tahun.

Namun begitu, Blockstream menjelaskan bahawa mereka tidak akan membayar apa yang mereka anggap sebagai wang tebusan berkaitan penggodaman Liquid Network. Di X, syarikat itu menyatakan, “Blockstream tidak akan membayar wang tebusan untuk mendapatkan semula dana yang dicuri. Mengambil aset tanpa kebenaran dan menahan pemulangannya ialah jenayah, bukan pendedahan yang bertanggungjawab. Ia bukan aktiviti white hat. Ia ialah pencurian.”