Взлом Liquid Network: белый хакер, черный хакер или кто-то еще?

Сторона, эксплуатировавшая Liquid Network, впервые назвала себя белым хакером в сообщении ончейн. Однако значительная часть пользователей Bitcoin не приняла эту характеристику. После того как из кошелька мультиподписной федерации, обеспечивающего Liquid Bitcoin (L-BTC) в Liquid Network, было выведено около 4 000 Bitcoin, та же сторона вернула 3 400 Bitcoin, а примерно 598,5 Bitcoin — на тот момент около $47 млн — оставила себе. Последовавшее обсуждение в Bitcoin Twitter временами превращалось в ожесточенный спор о том, являются ли эти оставшиеся средства вознаграждением за найденную уязвимость, выкупом или чем-то еще.

Разбор произошедшего

6 сентября ошибка консенсуса в Elements — программном обеспечении с открытым исходным кодом, на котором работает Liquid, — позволила одной из сторон создать около 4 000 L-BTC, не обеспеченных соответствующим депозитом в основной сети Bitcoin. Позднее Chainalysis описала уязвимость как проблему с кэшированием узлами Liquid проверок range proof, используемых технологией повышения конфиденциальности Liquid, известной как Confidential Transactions. Некорректные данные могли приниматься за ранее проверенный результат, что позволяло злоумышленникам выпускать необеспеченные L-BTC.

Федерация Liquid перевела около 3 996 Bitcoin на адрес назначения в блокчейне Bitcoin, поскольку транзакция выглядела как сжигание настоящих, действительных L-BTC. Важно отметить, что в ходе атаки ключи федерации не были украдены или скомпрометированы. При этом SideSwap взяла на себя ответственность за свою роль в инциденте, поскольку не внедрила достаточные проверки корректности и временные задержки для своей автоматизированной системы вывода средств из привязки. «Именно эта конструкция превратила обратимое событие в Liquid в необратежный платеж в Bitcoin», — написала SideSwap.

В итоге хакеры вернули 3 400 Bitcoin на адрес федерации, а остальное оставили себе. С тех пор переговоры между сторонами продолжаются через транзакции OP_RETURN, публикуемые в блокчейне Bitcoin; однако пока неясно, вернут ли хакеры дополнительные средства на адрес федерации после того, как публичные переговоры стали все более напряженными.

Именно тот факт, что хакеры по-прежнему удерживают почти 600 Bitcoin, вызвал спор о том, как следует классифицировать этот инцидент. Некоторые пользователи Bitcoin и представители криптоиндустрии считают это неофициальным вознаграждением, полученным после серьезного сбоя в системе безопасности, тогда как другие утверждают, что удержание монет с требованием устранить уязвимость и последующим удержанием части средств — в лучшем случае действия серого хакера, а в худшем — уголовное вымогательство.

Аргументы в пользу версии о сером хакере

Генеральный директор Layer Two Labs и создатель drivechains Пол Сторч заявил: «Я считаю, что чаевые в размере 15% вполне разумны». По его словам, без какой-либо выплаты стимулом становится «немедленно забрать ВСЕ монеты», «немедленно отмыть их все» и «НИКОГДА ни с кем не связываться». Позднее он добавил, что воспринимаемое им отсутствие благодарности за возвращенные 3 400 Bitcoin «кажется мне довольно возмутительным».

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Сооснователь USDT0 Лоренцо Романьоли также привел аргументы в защиту хакера Liquid Network в переписке с генеральным директором AnchorWatch Робом Хэмилтоном. «Он буквально вернул 3 400 BTC, вы не представляете, насколько это маловероятно», — написал он, добавив, что «[Северная Корея] уничтожила бы все целиком — это был бы черный хакер».

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Автор Bitcoin-Dollar Марк Гудвин выразил схожее мнение, написав: «Представьте, что хакер вернул вам почти 300 млн, после того как вы и 14 ваших друзей не смогли надежно их сохранить, а вы еще и жалуетесь?»

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Важно отметить, что, судя по всему, среди влиятельных представителей индустрии Bitcoin нет тех, кто заходит настолько далеко, чтобы называть этот инцидент исключительно атакой белого хакера.

Аргументы в пользу версии о черном хакере

Противоположная сторона в этом споре больше关注ивается тем, что хакеры все еще удерживают 600 Bitcoin, полученных в результате инцидента, чем тем, что уже вернули 3 400. Разработчик Bitcoin и автор различных предложений по улучшению Bitcoin (BIP) Кэлвин Ким предупредил, что признание удержания 15% приемлемым посылает недвусмысленный сигнал. 

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

«Взламывайте людей и забирайте 15%. И это даже не считают кражей!» — написал он. «При таком раскладе я не удивлюсь, если люди начнут отправлять [pull requests] с уязвимостями, чтобы затем взломать систему и получить свои 15%».

Технический директор Ledger Шарль Гийме назвал это «чистым вымогательством». «Если бы эти люди были честными, они связались бы с Blockstream и сообщили об уязвимости команде безопасности», — написал он. «После этого Blockstream решила бы, что лучше для Liquid и ее пользователей: приостановить работу сети, устранить уязвимость, а затем выплатить исследователю или исследователям вознаграждение. Любое другое поведение — вымогательство». В более ранней публикации, после возврата 3 400 Bitcoin, он также заявил: «Это больше похоже на вымогательство, чем на действия белого хакера!»

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Упомянутый выше Хэмилтон был столь же прямолинеен. «Мы не знаем, о чем шла речь в зашифрованной переписке, но удержание средств во время переговоров о доле не является поведением белого хакера», — написал он в ответ Сторчу. В другой беседе Хэмилтон также отметил, что саму концепцию белого хакера ввели нападавшие. «Мы бы даже не использовали выражение “белый хакер”, если бы атакующий не задал весь тон обсуждения, самостоятельно назвав себя белым хакером. Нет, спасибо: мы не собираемся начинать разговор с принятием их трактовки».

Нельзя просто назвать себя «белым хакером»

Также стоит отметить, что самопровозглашенный статус «белого хакера» может не иметь значения в суде. Основатель Gart Алена Вранова написала, что эксплуатация уязвимости, изъятие 4 000 Bitcoin и требование устранить проблему являются вымогательством. «Это может повлечь обвинения в тяжком преступлении и длительный тюремный срок», — добавила она. «В США — до 20 лет, а обвинения в компьютерном мошенничестве могут увеличить срок». В последующих публикациях она описала элементы, на которые обращают внимание суды: требование, угроза причинить вред, если требование не будет выполнено, и намерение получить имущество или преимущество. «Они не могут “забрать или оставить что-то в качестве вознаграждения”», — написала она. «Если они это делают, речь идет о краже, вымогательстве и мошенничестве».

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Псевдонимный технический редактор Bitcoin Magazine Shinobi высказал аналогичную мысль после частичного возврата выведенных средств. Если бы сторона вернула 100%, утверждал он, вознаграждение было бы возможно «полностью в рамках закона». По его словам, удержание части средств после публичных переговоров оставляет их «безусловно виновными в вымогательстве, буквально совершенном публично».

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Убыток, который Liquid будет сложно компенсировать

В обсуждении в некоторой степени упускается из виду, что Liquid никогда не была сильным источником дохода и давно подвергалась насмешкам из-за относительно ограниченного использования. В шутливом ответе на вопрос пользователя X о том, сколько теоретически времени потребовалось бы Liquid Network, чтобы покрыть текущий дефицит в 600 Bitcoin только за счет комиссий за транзакции, Grok оценил этот срок примерно в 258 лет.

При этом Blockstream ясно дала понять, что не будет выплачивать то, что считает выкупом за взлом Liquid Network. В X компания заявила: «Blockstream не будет платить выкуп за возврат украденных средств. Несанкционированное изъятие активов и удержание их возврата — это преступление, а не ответственное раскрытие уязвимости. Это не деятельность белого хакера. Это кража».