Liquid Network-hack: White hat, black hat eller noe annet?

​Parten som utnyttet Liquid Network, identifiserte seg først som en white-hat-aktør i en melding på blokkjeden. Men denne betegnelsen er ikke blitt akseptert av særlig mange i Bitcoin-miljøet. Etter at rundt 4 000 Bitcoin forlot multisig-føderasjonslommeboken som støtter Liquid Bitcoin (L-BTC) på Liquid Network, returnerte den samme parten 3 400 Bitcoin og beholdt rundt 598,5 Bitcoin til seg selv. Disse var verdt omtrent 47 millioner dollar da tappingen fant sted. Diskusjonen som fulgte på Bitcoin Twitter, utviklet seg tidvis til en intens debatt om hvorvidt denne gjenværende beholdningen er en bug bounty, løsepenger eller noe annet.

Gjennomgang av det som skjedde

Den 6. september gjorde en konsensusfeil i Elements, åpen kildekode-programvaren som driver Liquid, det mulig for en part å opprette rundt 4 000 L-BTC som ikke var støttet av noe tilsvarende innskudd på det underliggende Bitcoin-nettverket. Chainalysis beskrev senere feilen som et problem med hvordan Liquid-noder hurtigbufret kontroller av range proofs som brukes av Liquids personvernforbedrende teknologi, kjent som Confidential Transactions. Ugyldige data kunne bli behandlet som et tidligere verifisert resultat, noe som lot angriperne prege ubeskyttede L-BTC.

Liquid Federation frigjorde rundt 3 996 Bitcoin til destinasjonsadressen på Bitcoin-blokkjeden fordi transaksjonen så ut til å innebære brenning av legitim, gyldig L-BTC. For å presisere: Ingen føderasjonsnøkler ble stjålet eller kompromittert i angrepet. Når det er sagt, tok SideSwap ansvar for sin egen rolle i hendelsen fordi de ikke hadde implementert tilstrekkelige rimelighetskontroller eller tidsforsinkelser knyttet til sitt automatiserte peg-out-system. «Det designet var det som gjorde en reverserbar hendelse på Liquid til en irreversibel betaling på Bitcoin», skrev SideSwap.

Til slutt sendte hackerne 3 400 Bitcoin tilbake til føderasjonsadressen og beholdt resten. Samtalene mellom de to partene har siden fortsatt via OP_RETURN-transaksjoner publisert på Bitcoin-blokkjeden. Det er imidlertid uklart om hackerne vil sende flere midler tilbake til føderasjonsadressen etter at de offentlige forhandlingene ble stadig mer opphetede.

Det faktum at hackerne fortsatt holder nesten 600 Bitcoin, er det som har utløst en debatt om hvordan hendelsen bør klassifiseres. Enkelte Bitcoin -brukere og aktører i kryptobransjen ser på dette som en uoffisiell dusør som ble krevd inn etter en slurvete sikkerhetssvikt, mens andre hevder at det å holde på myntene mens man krever en oppdatering, for deretter å beholde en andel, i beste fall er grey-hat-aktivitet og i verste fall kriminell utpressing.

Tilhengere av grey-hat-synet

Layer Two Labs-sjef og oppfinneren av drivechains, Paul Sztorc, hevdet: «Jeg synes tipset på 15 % er ganske rimelig.» Uten en form for betaling, skrev han, er insentivet «å ta ALLE myntene umiddelbart», «UMIDDELBART mikse dem alle» og «IKKE kontakte noen, noensinne». Senere la han til at det han oppfattet som manglende takknemlighet for de returnerte 3 400 Bitcoin, «virker ganske skammelig for meg».

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

USDT0-medgrunnlegger Lorenzo Romagnoli delte også argumenter som sympatiserte med Liquid Network-hackeren i en meningsutveksling med AnchorWatch-sjef Rob Hamilton. «Han ga bokstavelig talt tilbake 3 400 BTC, du aner ikke hvor usannsynlig dette er», skrev han og la til at «[Nord-Korea] ville ha ødelagt hele greia, det ville vært en black hat».

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Mark Goodwin, forfatteren av The Bitcoin-Dollar, uttrykte en lignende holdning og skrev: «Tenk deg å få nesten 300 millioner tilbake fra en hacker etter at du og 14 av vennene dine ikke klarte å oppbevare dem sikkert, og så klage på det?»

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

For å presisere: Det ser ikke ut til at noen fremtredende aktører i Bitcoin-bransjen går så langt som å omtale dette som en utelukkende white-hat-hendelse.

Saken for black hat

Den motsatte siden i denne diskusjonen er mer opptatt av at hackerne fortsatt holder 600 Bitcoin fra hendelsen, enn av de 3 400 som allerede er returnert. Bitcoin-utvikleren og forfatteren av flere Bitcoin Improvement Proposals (BIP-er), Calvin Kim, advarte om at det å godta en andel på 15 % sender et tydelig signal. 

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

«Hack folk og ta 15 %. Det blir ikke engang sett på som tyveri!» skrev han. «I dette tempoet ville jeg ikke blitt overrasket om vi får folk som sender inn [pull requests] med sårbarheter, slik at de kan hacke og få sine 15 %.»

CTO i Ledger, Charles Guillemet, kalte det «ren utpressing». «Hvis disse personene var ærlige, ville de ha kontaktet Blockstream og forklart sårbarheten til sikkerhetsteamet», skrev han. «Derfra ville Blockstream ha avgjort hva som var best for Liquid og brukerne: sette nettverket på pause, utbedre sårbarheten og deretter betale forskeren(e) en dusør. All annen atferd er utpressing.» I et tidligere innlegg, etter at de 3 400 Bitcoin var returnert, uttalte han også: «Det ser mer ut som utpressing enn white-hat-hacking!»

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Den nevnte Hamilton har vært like direkte. «Vi vet ikke hva den krypterte kommunikasjonen gikk ut på, men det å holde på beholdningen mens man forhandler om en andel, er ikke white-hat-atferd», skrev han som svar til Sztorc. I en separat samtale påpekte Hamilton også at hele white-hat-rammeverket startet med angriperne. «Vi ville ikke engang brukt uttrykket white hat hvis ikke angriperen hadde startet hele vinklingen ved å identifisere seg som en white hat. Nei takk, jeg begynner ikke samtalen med å akseptere deres fremstilling.»

Man kan ikke bare omtale seg selv som «white hat»

Det er også verdt å merke seg at betegnelsen «white hat», som aktørene selv har gitt seg, kanskje ikke har betydning i retten. Gart-grunnlegger Alena Vránová skrev at det å utnytte feilen, ta 4 000 Bitcoin og kreve en retting, er utpressing. «Dette kan føre til tiltale for alvorlig kriminalitet og lang fengselsstraff», la hun til. «I USA kan det gi opptil 20 år, og tiltaler for datasvindel kan komme i tillegg.» I påfølgende innlegg skisserte hun hvilke elementer domstolene ser etter, nemlig et krav, en trussel om skade dersom kravet ikke oppfylles, og en intensjon om å skaffe seg eiendom eller en fordel. «De kan ikke ‘ta eller beholde noe som dusør’», skrev hun. «Hvis de gjør det, er det tyveri + utpressing + svindel.»

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Den pseudonyme tekniske redaktøren i Bitcoin Magazine, Shinobi, fremhevet et lignende poeng etter den delvise tilbakebetalingen av de tappede midlene. Hvis parten hadde sendt tilbake 100 %, hevdet han, kunne en dusør ha vært mulig «helt på riktig side av loven». Det å beholde en andel etter offentlige forhandlinger, skrev han, gjør at de «er fullstendig tatt på fersk gjerning for utpressing, bokstavelig talt utført offentlig».

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Et tap Liquid vil slite med å tjene inn igjen

Et poeng som til en viss grad har gått tapt i diskusjonen, er at Liquid aldri har vært en sterk inntektskilde og lenge har blitt latterliggjort for den relativt begrensede bruken. Da en X-bruker humoristisk spurte hvor lang tid det hypotetisk ville ta Liquid Network å dekke dagens underskudd på 600 Bitcoin utelukkende gjennom transaksjonsgebyrer, anslo Grok at det ville ta rundt 258 år.

Når det er sagt, gjorde Blockstream det klart at de ikke kommer til å betale det de oppfatter som løsepenger knyttet til Liquid Network-hacket. På X uttalte selskapet: «Blockstream vil ikke betale løsepenger for å få tilbake stjålne midler. Å ta eiendeler uten tillatelse og holde dem tilbake er en forbrytelse, ikke ansvarlig varsling. Det er ikke white-hat-aktivitet. Det er tyveri.»