Hack da Liquid Network: white hat, black hat ou outra coisa?

​A parte que explorou a Liquid Network primeiro se identificou como um agente white hat em uma mensagem on-chain. Mas esse rótulo não foi aceito por grande parte da comunidade de usuários de Bitcoin. Depois que cerca de 4.000 Bitcoin saíram da carteira da federação multisig que lastreia o Liquid Bitcoin (L-BTC) na Liquid Network, a mesma parte devolveu 3.400 Bitcoin e ficou com cerca de 598,5 Bitcoin, no valor aproximado de US$ 47 milhões no momento do saque, para si. A discussão que se seguiu no Bitcoin Twitter às vezes se transformou em um intenso debate sobre se esse saldo restante é uma recompensa por bug, um resgate ou outra coisa.

Analisando o que aconteceu

Em 6 de setembro, um bug de consenso no Elements, o software de código aberto que alimenta a Liquid, permitiu que uma parte criasse cerca de 4.000 L-BTC sem qualquer depósito correspondente na blockchain base do Bitcoin. A Chainalysis descreveu posteriormente a falha como um problema na forma como os nós da Liquid armazenavam em cache as verificações de range proofs usadas pela tecnologia de aprimoramento de privacidade da Liquid, conhecida como Confidential Transactions. Dados inválidos podiam ser tratados como um resultado previamente verificado, permitindo que os invasores criassem L-BTC sem lastro.

A Liquid Federation liberou cerca de 3.996 Bitcoin para o endereço de destino na blockchain do Bitcoin porque a transação parecia envolver a queima de L-BTC legítimos e válidos. Para deixar claro, nenhuma chave da federação foi roubada ou comprometida no ataque. Ainda assim, a SideSwap assumiu a responsabilidade por seu próprio papel no incidente porque não havia implementado verificações de consistência nem atrasos suficientes relacionados ao seu sistema automatizado de peg-out. “Esse design foi o que transformou um evento reversível na Liquid em um pagamento irreversível no Bitcoin”, escreveu a SideSwap.

Por fim, os hackers enviaram 3.400 Bitcoin de volta ao endereço da federação e ficaram com o restante. Desde então, as negociações entre as duas partes continuaram por meio de transações OP_RETURN publicadas na blockchain do Bitcoin; no entanto, atualmente não está claro se os hackers enviarão mais fundos de volta ao endereço da federação depois que as negociações públicas ficaram cada vez mais acaloradas.

O fato de os hackers ainda estarem com quase 600 Bitcoin é o que provocou um debate sobre como esse incidente deve ser classificado. Alguns usuários de Bitcoin e pessoas do setor de criptomoedas tratam isso como uma recompensa não oficial extraída após uma falha de segurança negligente, enquanto outros afirmam que manter as moedas enquanto exigem uma correção e depois ficar com uma parte é, na melhor das hipóteses, uma conduta grey hat e, na pior, extorsão criminosa.

Os argumentos a favor da visão grey hat

O CEO da Layer Two Labs e inventor das drivechains, Paul Sztorc, argumentou: “Acho que a gorjeta de 15% é bastante razoável.” Sem algum pagamento, escreveu ele, o incentivo é “pegar TODAS as moedas imediatamente”, “FAZER MIX de todas imediatamente” e “NÃO entrar em contato com ninguém, nunca”. Mais tarde, acrescentou que a falta de gratidão que percebeu pelos 3.400 Bitcoin devolvidos “me parece realmente bastante absurda”.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O cofundador da USDT0, Lorenzo Romagnoli, também compartilhou argumentos favoráveis ao hacker da Liquid Network em uma troca de mensagens com o CEO da AnchorWatch, Rob Hamilton. “Ele literalmente devolveu 3.400 BTC, você não faz ideia de quão improvável isso é”, escreveu, acrescentando que “[North Korea] teria destruído tudo, isso seria black hat.”

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O autor do Bitcoin-Dollar, Mark Goodwin, expressou um sentimento semelhante ao publicar: “Imagine receber de volta quase 300 milhões de um hacker depois que você e 14 dos seus amigos falharam em armazená-los com segurança e ainda reclamar disso?”

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Para deixar claro, não parece haver nenhuma pessoa de destaque do setor de Bitcoin que chegue ao ponto de se referir a isso como um incidente de hacking estritamente white hat.

O argumento black hat

O grupo contrário nessa discussão está mais interessado no fato de que os hackers ainda mantêm 600 Bitcoin provenientes do incidente do que nos 3.400 que já foram devolvidos. O desenvolvedor de Bitcoin e autor de diversas Bitcoin Improvement Proposals (BIPs), Calvin Kim, alertou que tratar a parcela de 15% como aceitável transmite uma mensagem clara. 

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

“Hackeie pessoas e fique com 15%. Isso nem é visto como roubo!”, escreveu. “Nesse ritmo, eu não ficaria surpreso se tivéssemos gente fazendo [pull requests] com vulnerabilidades para poder hackear e ficar com seus 15%.”

O CTO da Ledger, Charles Guillemet, classificou o caso como “extorsão pura e simples”. “Se essas pessoas fossem honestas, teriam entrado em contato com a Blockstream e explicado a vulnerabilidade à equipe de segurança”, escreveu. “A partir daí, a Blockstream teria decidido o que seria melhor para a Liquid e seus usuários: pausar a rede, corrigir a vulnerabilidade e então pagar uma recompensa ao(s) pesquisador(es). Qualquer outro comportamento é extorsão.” Em uma publicação anterior, após a devolução dos 3.400 Bitcoin, ele também declarou: “Parece mais extorsão do que hacking white hat!”

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O já mencionado Hamilton foi igualmente direto. “Não sabemos o que as comunicações criptografadas estavam fazendo, mas manter o saldo enquanto negocia uma parte não é um comportamento white hat”, escreveu em resposta a Sztorc. Em outra conversa, Hamilton também destacou que toda a estrutura white hat começou com os invasores. “Nós nem estaríamos usando a expressão white hat se o invasor não tivesse iniciado todo o enquadramento da janela de interpretação ao se identificar como white hat. Não, obrigado; não vou iniciar a conversa aceitando o enquadramento deles.”

Ninguém pode simplesmente se autodenominar ‘white hat’

Também vale observar que o rótulo autoproclamado de “white hat” pode não ter importância em um tribunal. A fundadora da Gart, Alena Vránová, escreveu que explorar o bug, pegar 4.000 Bitcoin e exigir uma correção é extorsão. “Isso pode significar acusações criminais graves e longos períodos de prisão”, acrescentou. “Nos EUA, até 20 anos, e acusações de fraude informática podem acrescentar mais.” Em publicações posteriores, ela esboçou os elementos que os tribunais procuram, a saber, uma exigência, uma ameaça de dano caso a exigência não seja atendida e a intenção de obter propriedade ou uma vantagem. “Eles não podem ‘pegar ou manter algo como recompensa’”, escreveu. “Se fizerem isso, é roubo + extorsão + fraude.”

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O editor técnico pseudônimo da Bitcoin Magazine, Shinobi, apresentou um argumento semelhante após a devolução parcial dos fundos drenados. Se a parte tivesse devolvido 100%, argumentou, uma recompensa poderia ter sido possível “completamente dentro da legalidade”. Manter uma parte após uma negociação pública, escreveu, deixa os envolvidos “inequivocamente caracterizados como culpados de extorsão, literalmente cometida em público”.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Uma perda que a Liquid teria dificuldade para recuperar

Um ponto que acabou um tanto perdido na discussão é que a Liquid nunca foi uma forte geradora de receita e há muito tempo é alvo de piadas por seu uso relativamente limitado. De forma bem-humorada, quando um usuário do X perguntou quanto tempo hipoteticamente levaria para a Liquid Network cobrir o déficit atual de 600 Bitcoin apenas com taxas de transação, o Grok estimou que seriam necessários cerca de 258 anos.

Dito isso, a Blockstream deixou claro que não pagará o que considera um resgate relacionado ao hack da Liquid Network. No X, a empresa declarou: “A Blockstream não pagará um resgate pela devolução de fundos roubados. Retirar ativos sem autorização e impedir sua devolução é crime, não divulgação responsável. Isso não é uma atividade white hat. É roubo.”