Liquid Network-hack: white hat, black hat eller något annat?

​Den part som utnyttjade Liquid Network identifierade sig först som en white-hat-aktör i ett on-chain-meddelande. Men den beteckningen har inte accepterats av särskilt många i Bitcoin-användarbasen. Efter att omkring 4 000 Bitcoin lämnat multisig-federationsplånboken som backar Liquid Bitcoin (L-BTC) på Liquid Network returnerade samma part 3 400 Bitcoin och behöll cirka 598,5 Bitcoin, värda ungefär 47 miljoner dollar när uttömningen skedde, åt sig själv. Diskussionen som följde på Bitcoin Twitter utvecklades stundtals till en intensiv debatt om huruvida den kvarvarande summan är en bug bounty, en lösensumma eller något annat.

Genomgång av vad som hände

Den 6 september gjorde en konsensusbugg i Elements, programvaran med öppen källkod som driver Liquid, det möjligt för en part att skapa omkring 4 000 L-BTC som inte backades av någon motsvarande insättning på den underliggande Bitcoin-blockkedjan. Chainalysis beskrev senare felet som ett problem med hur Liquid-noder cachade kontroller av range proofs som används av Liquids integritetsförbättrande teknik, kallad Confidential Transactions. Ogiltiga data kunde behandlas som ett tidigare verifierat resultat, vilket gjorde det möjligt för angripare att skapa obackade L-BTC.

Liquid Federation släppte omkring 3 996 Bitcoin till destinationsadressen på Bitcoin-blockkedjan eftersom transaktionen verkade innebära att giltiga, legitima L-BTC brändes. För att vara tydlig: inga federationsnycklar stals eller komprometterades i attacken. Med det sagt tog SideSwap ansvar för sin egen roll i incidenten eftersom de inte hade implementerat tillräckliga rimlighetskontroller eller tidsfördröjningar för sitt automatiserade peg-out-system. ”Den designen är det som förvandlade en reversibel händelse på Liquid till en irreversibel betalning på Bitcoin”, skrev SideSwap.

Till slut skickade hackarna tillbaka 3 400 Bitcoin till federationsadressen och behöll resten. Samtalen mellan de två parterna har sedan dess fortsatt via OP_RETURN-transaktioner som publicerats på Bitcoin-blockkedjan. Det är dock fortfarande oklart om hackarna kommer att skicka tillbaka mer pengar till federationsadressen efter att de offentliga förhandlingarna blev alltmer upphettade.

Det faktum att hackarna fortfarande håller nästan 600 Bitcoin har orsakat en debatt om hur denna incident bör klassificeras. Vissa Bitcoin -användare och personer med insyn i kryptoindustrin ser det som en inofficiell bounty som utvunnits efter ett slarvigt säkerhetsmisslyckande, medan andra hävdar att det bästa man kan kalla det är grey-hat och att det i värsta fall är kriminell utpressning att hålla kvar mynten, kräva en patch och sedan behålla en andel.

Förespråkare för grey-hat-synsättet

Layer Two Labs vd och upphovsmannen till drivechains, Paul Sztorc, hävdade: ”Jag tycker att dricksen på 15 % är ganska rimlig.” Utan någon betalning, skrev han, är incitamentet att ”ta ALLA mynt omedelbart”, ”MIXA dem alla omedelbart” och ”aldrig kontakta någon”. Senare tillade han att den brist på tacksamhet för de 3 400 returnerade Bitcoin som han uppfattade ”verkar ganska sjukt för mig”.

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

USDT0:s medgrundare Lorenzo Romagnoli framförde också argument som sympatiserade med Liquid Network-hackaren i en diskussion med AnchorWatchs vd Rob Hamilton. ”Han gav bokstavligen tillbaka 3 400 BTC, du har ingen aning om hur osannolikt det här är”, skrev han och tillade att ”[North Korea] skulle ha förstört alltihop, det hade varit en black hat”.

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

Mark Goodwin, författare till Bitcoin-Dollar, uttryckte en liknande åsikt och skrev: ”Föreställ dig att en hacker returnerar nästan 300 miljoner till dig efter att du och 14 av dina vänner misslyckats med att förvara dem säkert, och att du sedan klagar på det?”

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

För att vara tydlig verkar det inte finnas några framstående personer med insyn i Bitcoin-industrin som går så långt som att beskriva detta som en strikt white-hat-attack.

Argumenten för black hat

Den motsatta sidan i diskussionen är mer intresserad av det faktum att hackarna fortfarande håller 600 Bitcoin från incidenten än av de 3 400 som redan har returnerats. Bitcoinutvecklaren och författaren till flera Bitcoin Improvement Proposals (BIP), Calvin Kim, varnade för att ett accepterande av 15-procentsandelen sänder ett tydligt budskap. 

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

”Hacka folk och ta 15 %. Det ses inte ens som stöld!” skrev han. ”I den här takten skulle jag inte bli förvånad om vi får personer som skickar in [pull requests] med sårbarheter så att de kan hacka och få sina 15 %.”

Ledgers teknikchef Charles Guillemet kallade det ”ren utpressning”. ”Om dessa personer hade varit ärliga skulle de ha kontaktat Blockstream och förklarat sårbarheten för säkerhetsteamet”, skrev han. ”Därefter skulle Blockstream ha beslutat vad som var bäst för Liquid och dess användare: pausa nätverket, åtgärda sårbarheten och sedan betala forskaren eller forskarna en bounty. Allt annat beteende är utpressning.” I ett tidigare inlägg, efter att de 3 400 Bitcoin hade returnerats, skrev han också: ”Det ser mer ut som utpressning än white-hat-hacking!”

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

Den tidigare nämnda Hamilton har varit lika direkt. ”Vi vet inte vad den krypterade kommunikationen handlade om, men att hålla kvar summan medan man förhandlar om en andel är inte white-hat-beteende”, skrev han som svar till Sztorc. I en separat diskussion påpekade Hamilton också att hela white-hat-beskrivningen började med angriparna. ”Vi skulle inte ens använda ordet white hat om angriparen inte hade inlett hela inramningen genom att själv identifiera sig som en white hat. Nej tack, jag tänker inte inleda samtalet genom att acceptera deras inramning.”

Man kan inte bara kalla sig själv ”white hat”

Det är också värt att notera att den självutnämnda beteckningen ”white hat” kanske inte spelar någon roll i domstol. Gart-grundaren Alena Vránová skrev att det är utpressning att utnyttja buggen, ta 4 000 Bitcoin och kräva en åtgärd. ”Det kan innebära åtal för grovt brott och långa fängelsestraff”, tillade hon. ”I USA upp till 20 år, och åtal för datorbedrägeri kan lägga till mer.” I uppföljande inlägg skisserade hon de omständigheter som domstolar tittar på, nämligen ett krav, ett hot om skada om kravet inte uppfylls samt avsikt att tillskansa sig egendom eller en fördel. ”De kan inte ’ta eller behålla något som bounty’”, skrev hon. ”Om de gör det är det stöld + utpressning + bedrägeri.”

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

Shinobi, teknisk redaktör på Bitcoin Magazine som använder pseudonym, framförde en liknande poäng efter den partiella återbetalningen av de uttömda medlen. Om parten hade skickat tillbaka 100 % hade en bounty kunnat vara möjlig ”helt utan juridiska problem”, hävdade han. Att behålla en andel efter en offentlig förhandling innebär enligt honom att de ”är helt och hållet fast för utpressning, bokstavligen utförd offentligt”.

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

En förlust som Liquid skulle ha svårt att tjäna tillbaka

En aspekt som delvis har gått förlorad i diskussionen är att Liquid aldrig har varit någon stark intäktsgenerator och länge har hånats för sin relativt begränsade användning. När en X-användare skämtsamt frågade hur lång tid det hypotetiskt skulle ta för Liquid Network att täcka det nuvarande underskottet på 600 Bitcoin enbart genom transaktionsavgifter, uppskattade Grok att det skulle ta omkring 258 år.

Blockstream klargjorde dock att de inte kommer att betala det som de uppfattar som en lösensumma kopplad till Liquid Network-hacket. På X skrev företaget: ”Blockstream kommer inte att betala en lösensumma för att få tillbaka stulna medel. Att ta tillgångar utan tillstånd och hålla inne återlämnandet är ett brott, inte ansvarsfull rapportering. Det är inte white-hat-aktivitet. Det är stöld.”