Hackul Liquid Network: white hat, black hat sau altceva?

​Entitatea care a exploatat Liquid Network s-a identificat mai întâi drept un actor white hat într-un mesaj on-chain. Însă această etichetă nu a fost acceptată de o mare parte a comunității utilizatorilor Bitcoin. După ce aproximativ 4.000 de Bitcoin au părăsit portofelul multisig al federației care susține Liquid Bitcoin (L-BTC) pe Liquid Network, aceeași entitate a returnat 3.400 de Bitcoin și a păstrat pentru sine aproximativ 598,5 Bitcoin, în valoare de circa 47 de milioane de dolari la momentul retragerii. Discuția care a urmat pe Bitcoin Twitter s-a transformat uneori într-o dezbatere aprinsă privind natura acestor fonduri rămase: recompensă pentru identificarea unei vulnerabilități, răscumpărare sau altceva.

Analiza celor întâmplate

Pe 6 septembrie, o eroare de consens în Elements, software-ul open-source care stă la baza Liquid, a permis unei entități să creeze aproximativ 4.000 de L-BTC care nu erau susținuți de niciun depozit corespunzător pe blockchainul Bitcoin de bază. Ulterior, Chainalysis a descris vulnerabilitatea drept o problemă legată de modul în care nodurile Liquid stocau în cache verificările range-proof utilizate de tehnologia de îmbunătățire a confidențialității Liquid, cunoscută sub denumirea de Confidential Transactions. Datele invalide puteau fi tratate ca rezultate verificate anterior, ceea ce le-a permis atacatorilor să creeze L-BTC fără acoperire.

Federația Liquid a eliberat aproximativ 3.996 de Bitcoin către adresa de destinație de pe blockchainul Bitcoin, deoarece tranzacția părea să implice arderea unor L-BTC legitimi și valizi. Pentru claritate, în cadrul atacului nu au fost furate și nici compromise cheile federației. Totuși, SideSwap și-a asumat responsabilitatea pentru propriul rol în incident, deoarece nu implementase verificări de integritate sau întârzieri suficiente în sistemul său automatizat de peg-out. „Acest design este cel care a transformat un eveniment reversibil pe Liquid într-o plată ireversibilă pe Bitcoin”, a scris SideSwap.

În cele din urmă, hackerii au trimis înapoi 3.400 de Bitcoin la adresa federației și au păstrat restul. De atunci, discuțiile dintre cele două părți au continuat prin tranzacții OP_RETURN publicate pe blockchainul Bitcoin; cu toate acestea, în prezent nu este clar dacă hackerii vor mai trimite fonduri către adresa federației după ce negocierile publice au devenit tot mai tensionate.

Faptul că hackerii dețin în continuare aproape 600 de Bitcoin a declanșat dezbaterea privind modul în care ar trebui clasificat acest incident. Unii utilizatori Bitcoin și reprezentanți ai industriei crypto consideră că este vorba despre o recompensă neoficială obținută după un eșec de securitate grav, în timp ce alții susțin că păstrarea monedelor în timp ce se solicită aplicarea unui patch, urmată de reținerea unei părți, reprezintă cel mult o conduită grey hat și, în cel mai rău caz, o extorcare criminală.

Susținătorii perspectivei grey hat

CEO-ul Layer Two Labs și inventatorul drivechain-urilor, Paul Sztorc, a argumentat: „Cred că bacșișul de 15% este destul de rezonabil.” Fără o anumită plată, a scris el, stimulentul este „ia TOATE monedele imediat”, „amestecă-le pe TOATE imediat” și „NU contacta pe nimeni, niciodată”. Ulterior, a adăugat că lipsa de recunoștință pe care a perceput-o pentru cei 3.400 de Bitcoin returnați „mi se pare într-adevăr destul de deplasată”.

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Cofondatorul USDT0, Lorenzo Romagnoli, a prezentat de asemenea argumente favorabile hackerului Liquid Network, într-un schimb de replici cu CEO-ul AnchorWatch, Rob Hamilton. „A returnat literalmente 3.400 BTC, habar nu ai cât de improbabil este acest lucru”, a scris el, adăugând că „[Coreea de Nord] ar fi distrus totul, asta ar fi fost black hat”.

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Autorul Bitcoin-Dollar, Mark Goodwin, a exprimat un sentiment similar, postând: „Imaginați-vă că un hacker vă returnează aproape 300 de milioane, după ce voi și 14 dintre prietenii voștri nu ați reușit să le păstrați în siguranță, iar apoi vă plângeți de asta?”

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Pentru claritate, nu par să existe reprezentanți importanți ai industriei Bitcoin care să meargă atât de departe încât să descrie acest caz drept un incident de hacking strict white hat.

Argumentul black hat

Tabăra opusă din această dezbatere este mai interesată de faptul că hackerii dețin în continuare 600 de Bitcoin proveniți din incident decât de cei 3.400 care au fost deja returnați. Dezvoltatorul Bitcoin și autorul mai multor Bitcoin Improvement Proposals (BIP), Calvin Kim, a avertizat că acceptarea unei cote de 15% transmite un mesaj clar. 

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

„Hăckuiește oameni și ia 15%. Nici măcar nu este considerat furt!” a scris el. „În ritmul acesta, nu m-ar surprinde să apară persoane care trimit [pull requests] cu vulnerabilități, pentru a putea hăcui și primi 15%.”

CTO-ul Ledger, Charles Guillemet, a numit situația „extorcare în toată regula”. „Dacă aceste persoane ar fi fost oneste, ar fi contactat Blockstream și ar fi explicat vulnerabilitatea echipei de securitate”, a scris el. „De acolo, Blockstream ar fi decis ce era mai bine pentru Liquid și utilizatorii săi: să oprească rețeaua, să remedieze vulnerabilitatea și apoi să plătească cercetătorului sau cercetătorilor o recompensă. Orice alt comportament este extorcare.” Într-o postare anterioară, după returnarea celor 3.400 de Bitcoin, el a mai declarat: „Pare mai degrabă extorcare decât hacking white hat!”

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Hamilton, menționat mai sus, a fost la fel de direct. „Nu știm ce făceau comunicațiile criptate, dar păstrarea fondurilor în timp ce negociezi o parte din ele nu este un comportament white hat”, a scris el ca răspuns către Sztorc. Într-o conversație separată, Hamilton a subliniat și că întreaga formulare white hat a pornit de la atacatori. „Nici măcar nu am folosi expresia white hat dacă atacatorul nu ar fi început întregul cadru de prezentare prin a se identifica drept white hat. Nu, mulțumesc; nu voi începe conversația acceptând perspectiva lor.”

Nu te poți autointitula pur și simplu „white hat”

De asemenea, merită menționat că eticheta autoproclamată de „white hat” s-ar putea să nu conteze în instanță. Fondatoarea Gart, Alena Vránová, a scris că exploatarea vulnerabilității, preluarea a 4.000 de Bitcoin și solicitarea unei remedieri constituie extorcare. „Acest lucru poate însemna acuzații de infracțiune gravă și o perioadă lungă de închisoare”, a adăugat ea. „În SUA, până la 20 de ani, iar acuzațiile de fraudă informatică pot adăuga și mai mult.” În postări ulterioare, ea a schițat elementele pe care le analizează instanțele, și anume o cerere, o amenințare cu producerea unui prejudiciu dacă cererea nu este îndeplinită și intenția de a obține un bun sau un avantaj. „Nu pot «lua sau păstra ceva drept recompensă»”, a scris ea. „Dacă o fac, este furt + extorcare + fraudă.”

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Editorul tehnic pseudonim al Bitcoin Magazine, Shinobi, a formulat un punct de vedere similar după returnarea parțială a fondurilor retrase. Dacă entitatea ar fi trimis înapoi 100%, a argumentat el, o recompensă ar fi putut fi posibilă „complet în limitele legii”. Păstrarea unei părți după o negociere publică, a scris el, îi lasă „fără nicio apărare, prinși clar făcând extorcare literalmente în public”.

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

O pierdere pe care Liquid ar avea dificultăți să o recupereze

Un aspect care s-a pierdut într-o anumită măsură în această dezbatere este că Liquid nu a fost niciodată un generator puternic de venituri și a fost ironizat mult timp pentru utilizarea sa relativ limitată. În mod ironic, când un utilizator X a întrebat cât timp i-ar lua ipotetic Liquid Network să acopere deficitul actual de 600 de Bitcoin exclusiv din comisioanele de tranzacție, Grok a estimat că ar dura aproximativ 258 de ani.

Acestea fiind spuse, Blockstream a clarificat că nu va plăti ceea ce consideră a fi o răscumpărare legată de hackul Liquid Network. Pe X, compania a declarat: „Blockstream nu va plăti o răscumpărare pentru returnarea fondurilor furate. Preluarea activelor fără autorizație și reținerea lor reprezintă o infracțiune, nu o divulgare responsabilă. Nu este o activitate white hat. Este furt.”