Atak na Liquid Network: white hat, black hat czy coś innego?

​Strona, która wykorzystała lukę w Liquid Network, po raz pierwszy określiła się jako podmiot działający w dobrej wierze w wiadomości on-chain. Jednak znaczna część użytkowników Bitcoina nie zaakceptowała tego określenia. Po tym, jak z portfela federacji multisig zabezpieczającego Liquid Bitcoin (L-BTC) w Liquid Network wypłynęło około 4 000 Bitcoinów, ta sama strona zwróciła 3 400 Bitcoinów, a około 598,5 Bitcoinów, wartych wówczas około 47 milionów dolarów, zatrzymała dla siebie. Późniejsza dyskusja na Bitcoin Twitterze przerodziła się momentami w intensywną debatę na temat tego, czy pozostała kwota jest nagrodą za wykrycie błędu, okupem czy czymś innym.

Analiza wydarzeń

6 września błąd konsensusu w Elements, czyli oprogramowaniu open source napędzającym Liquid, umożliwił pewnej stronie utworzenie około 4 000 L-BTC, które nie były zabezpieczone żadnym odpowiadającym im depozytem na bazowym blockchainie Bitcoina. Firma Chainalysis opisała później tę lukę jako problem ze sposobem, w jaki węzły Liquid buforowały weryfikację dowodów zakresu wykorzystywanych przez technologię zwiększającą prywatność Liquid, znaną jako Confidential Transactions. Nieprawidłowe dane mogły zostać potraktowane jako wcześniej zweryfikowany wynik, co umożliwiło atakującym emisję niezabezpieczonych L-BTC.

Federacja Liquid uwolniła około 3 996 Bitcoinów na adres docelowy w blockchainie Bitcoina, ponieważ transakcja wyglądała na spalenie prawidłowych, ważnych L-BTC. Dla jasności: podczas ataku nie skradziono ani nie przejęto żadnych kluczy federacji. Niemniej SideSwap przyjęło odpowiedzialność za własny udział w incydencie, ponieważ nie wdrożyło wystarczających kontroli poprawności ani opóźnień czasowych związanych ze zautomatyzowanym systemem peg-out. „To właśnie ta konstrukcja zamieniła odwracalne zdarzenie w Liquid w nieodwracalną płatność w Bitcoinie” — napisało SideSwap.

Ostatecznie hakerzy odesłali 3 400 Bitcoinów na adres federacji i zatrzymali resztę. Od tego czasu rozmowy między obiema stronami toczą się za pośrednictwem transakcji OP_RETURN publikowanych w blockchainie Bitcoina; obecnie nie wiadomo jednak, czy hakerzy prześlą więcej środków na adres federacji po tym, jak publiczne negocjacje stały się coraz bardziej napięte.

To, że hakerzy nadal posiadają niemal 600 Bitcoinów, wywołało debatę na temat klasyfikacji tego incydentu. Niektórzy użytkownicy Bitcoina i przedstawiciele branży kryptowalut traktują to jako nieoficjalną nagrodę wyegzekwowaną po rażącym zaniedbaniu bezpieczeństwa, podczas gdy inni twierdzą, że przetrzymywanie monet przy jednoczesnym żądaniu poprawki, a następnie zatrzymanie części środków, to w najlepszym razie działanie na pograniczu white hat, a w najgorszym — przestępcze wymuszenie.

Argumenty zwolenników koncepcji grey hat

Dyrektor generalny Layer Two Labs i twórca drivechainów Paul Sztorc stwierdził: „Uważam, że 15-procentowy napiwek jest całkiem rozsądny”. Bez jakiejś zapłaty — napisał — zachętą byłoby „natychmiastowe zabranie WSZYSTKICH monet”, „natychmiastowe zmiksowanie ich wszystkich” oraz „NIEKONTAKTOWANIE się z nikim, nigdy”. Później dodał, że odczuwany przez niego brak wdzięczności za zwrócone 3 400 Bitcoinów „wydaje mi się naprawdę dość pokręcony”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Współzałożyciel USDT0 Lorenzo Romagnoli również przedstawił argumenty przychylne hakerowi Liquid Network w wymianie zdań z dyrektorem generalnym AnchorWatch Robem Hamiltonem. „Dosłownie zwrócił 3 400 BTC, nie masz pojęcia, jak mało prawdopodobne to było” — napisał, dodając, że „[Korea Północna] rozwaliłaby całość, to byłby black hat”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Autor Bitcoin-Dollar Mark Goodwin wyraził podobne zdanie, publikując: „Wyobraź sobie, że haker zwraca ci prawie 300 mln, po tym jak ty i 14 twoich znajomych nie potrafiliście bezpiecznie tego przechować, a potem jeszcze narzekasz?”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Dla jasności: nie wydaje się, by którykolwiek z czołowych przedstawicieli branży Bitcoina posuwał się do określania tego incydentu jako działania ściśle white hat.

Argumenty na rzecz black hat

Przeciwna strona tej dyskusji bardziej skupia się na tym, że hakerzy nadal posiadają 600 Bitcoinów pochodzących z incydentu, niż na 3 400 Bitcoinach, które już zwrócono. Deweloper Bitcoina i autor różnych Bitcoin Improvement Proposals (BIP), Calvin Kim, ostrzegł, że uznanie 15-procentowej części za akceptowalną wysyła jasny komunikat. 

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

„Hakuj ludzi i zabieraj 15%. To nawet nie jest postrzegane jako kradzież!” — napisał. „W tym tempie nie zdziwiłbym się, gdyby ludzie zaczęli tworzyć [pull requesty] z lukami, żeby móc hakować i dostawać swoje 15%”.

Dyrektor ds. technologii Ledger, Charles Guillemet, nazwał to „czystym wymuszeniem”. „Gdyby ci ludzie byli uczciwi, skontaktowaliby się z Blockstream i wyjaśnili lukę zespołowi ds. bezpieczeństwa” — napisał. „Następnie Blockstream zdecydowałby, co jest najlepsze dla Liquid i jego użytkowników: wstrzymać działanie sieci, naprawić lukę, a potem wypłacić badaczowi lub badaczom nagrodę. Każde inne zachowanie jest wymuszeniem”. We wcześniejszym wpisie, po zwrocie 3 400 Bitcoinów, stwierdził również: „To bardziej przypomina wymuszenie niż hacking w stylu white hat!”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Wspomniany wcześniej Hamilton był równie bezpośredni. „Nie wiemy, co robiła zaszyfrowana komunikacja, ale przetrzymywanie środków podczas negocjowania części z nich nie jest zachowaniem white hat” — napisał w odpowiedzi Sztorcowi. W osobnej rozmowie Hamilton zauważył również, że cała narracja white hat zaczęła się od atakujących. „Nie używalibyśmy nawet określenia white hat, gdyby atakujący nie rozpoczął całej tej narracji, przedstawiając się jako white hat. Nie, dziękuję — nie zaczynam rozmowy od zaakceptowania ich narracji”.

Nie można po prostu określić siebie jako „white hat”

Warto również zauważyć, że samozwańcze określenie „white hat” może nie mieć znaczenia w sądzie. Założycielka Gart, Alena Vránová, napisała, że wykorzystanie luki, przejęcie 4 000 Bitcoinów i żądanie poprawki stanowią wymuszenie. „Może to oznaczać zarzuty popełnienia ciężkiego przestępstwa i długi pobyt w więzieniu” — dodała. „W USA nawet do 20 lat, a zarzuty oszustwa komputerowego mogą dołożyć kolejne kary”. W kolejnych wpisach nakreśliła elementy, których szukają sądy: żądanie, groźbę wyrządzenia szkody w przypadku niespełnienia żądania oraz zamiar uzyskania mienia lub korzyści. „Nie mogą «zabrać ani zatrzymać czegoś jako nagrody»” — napisała. „Jeśli to zrobią, mamy kradzież + wymuszenie + oszustwo”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Pseudonimowy redaktor techniczny Bitcoin Magazine, Shinobi, przedstawił podobny argument po częściowym zwrocie wyprowadzonych środków. Gdyby strona ta zwróciła 100% środków, nagroda mogłaby być możliwa „całkowicie w granicach prawa” — argumentował. Zatrzymanie części środków po publicznych negocjacjach — napisał — sprawia, że są „bezapelacyjnie przyłapani na wymuszeniu dosłownie prowadzonym publicznie”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Strata, którą Liquidowi trudno będzie odrobić

Jeden z aspektów, który w pewnym stopniu zagubił się w tej dyskusji, to fakt, że Liquid nigdy nie był silnym źródłem przychodów i od dawna wyśmiewano go za stosunkowo ograniczone wykorzystanie. Żartobliwie, gdy użytkownik X zapytał, ile hipotetycznie zajęłoby Liquid Network pokrycie obecnego deficytu 600 Bitcoinów wyłącznie z opłat transakcyjnych, Grok oszacował, że zajęłoby to około 258 lat.

Mimo to Blockstream jasno dał do zrozumienia, że nie zapłaci tego, co postrzega jako okup związany z atakiem na Liquid Network. Firma napisała na X: „Blockstream nie zapłaci okupu za zwrot skradzionych środków. Zabranie aktywów bez upoważnienia i wstrzymywanie ich zwrotu jest przestępstwem, a nie odpowiedzialnym ujawnieniem. Nie jest to działanie white hat. To kradzież”.