Liquid Network hack’i: White hat, black hat ya da başka bir şey mi?

​Liquid Network’ü istismar eden taraf, zincir üzerindeki bir mesajda kendisini ilk olarak white hat aktör olarak tanımladı. Ancak bu tanım, Bitcoin kullanıcılarının büyük bir bölümü tarafından kabul edilmedi. Liquid Network’te Liquid Bitcoin’i (L-BTC) destekleyen multisig federasyon cüzdanından yaklaşık 4.000 Bitcoin çıktıktan sonra aynı taraf 3.400 Bitcoin’i iade etti ve çekim sırasında yaklaşık 47 milyon dolar değerinde olan yaklaşık 598,5 Bitcoin’i kendisi için tuttu. Bitcoin Twitter’da ardından başlayan tartışma, zaman zaman bu kalan miktarın bug bounty mi, fidye mi yoksa başka bir şey mi olduğu konusunda hararetli bir tartışmaya dönüştü.

Yaşananları incelemek

6 Eylül’de, Liquid’e güç veren açık kaynaklı yazılım Elements’teki bir konsensüs hatası, temel Bitcoin blockchain’inde karşılık gelen herhangi bir yatırımla desteklenmeyen yaklaşık 4.000 L-BTC’nin oluşturulmasına olanak tanıdı. Chainalysis daha sonra açığı, Liquid’in Confidential Transactions olarak bilinen gizlilik artırıcı teknolojisi tarafından kullanılan range-proof kontrollerinin Liquid düğümleri tarafından önbelleğe alınma biçimindeki bir sorun olarak tanımladı. Geçersiz veriler daha önce doğrulanmış bir sonuç olarak değerlendirilebiliyor ve bu da saldırganların desteklenmeyen L-BTC basmasına imkân veriyordu.

İşlem, geçerli ve meşru L-BTC’lerin yakılmasını içeriyor gibi göründüğü için Liquid Federation, Bitcoin blockchain’indeki hedef adrese yaklaşık 3.996 Bitcoin gönderdi. Açık olmak gerekirse, saldırı sırasında hiçbir federasyon anahtarı çalınmadı veya ele geçirilmedi. Bununla birlikte SideSwap, olayda kendi rolünün sorumluluğunu üstlendi; çünkü otomatik peg-out sistemiyle ilgili yeterli mantık kontrollerini veya zaman gecikmelerini uygulamamıştı. SideSwap, “Bu tasarım, Liquid’de geri alınabilir bir olayı Bitcoin’de geri döndürülemez bir ödemeye dönüştürdü,” diye yazdı.

Sonunda hacker’lar federasyon adresine 3.400 Bitcoin gönderdi ve kalanını tuttu. O tarihten bu yana iki taraf arasındaki görüşmeler Bitcoin blockchain’inde yayımlanan OP_RETURN işlemleri üzerinden devam ediyor; ancak kamuya açık müzakereler giderek sertleştiği için hacker’ların federasyon adresine daha fazla fon gönderip göndermeyeceği şu anda belirsiz.

Hacker’ların hâlâ yaklaşık 600 Bitcoin’i elinde tutması, bu olayın nasıl sınıflandırılması gerektiği konusunda tartışmaya yol açtı. Bazı Bitcoin kullanıcıları ve kripto endüstrisi içinden kişiler bunu, ciddi bir güvenlik hatasının ardından elde edilen gayriresmî bir ödül olarak değerlendirirken, diğerleri bir yama talep ederken coin’leri elde tutmanın ve ardından bir kısmını alıkoymanın en iyi ihtimalle grey-hat, en kötü ihtimalle ise suç teşkil eden gasp olduğunu savunuyor.

Grey-hat görüşünü savunanlar

Layer Two Labs CEO’su ve drivechain mucidi Paul Sztorc, “Bence %15’lik bahşiş oldukça makul,” diye savundu. Bir ödeme olmaması hâlinde teşvikin “TÜM coin’leri hemen almak”, “hepsini hemen MIX etmek” ve “kimseyle asla iletişime geçmemek” olacağını yazdı. Daha sonra, iade edilen 3.400 Bitcoin için gösterildiğini düşündüğü minnettarlık eksikliğinin “bana gerçekten oldukça yanlış geliyor” olduğunu ekledi.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

USDT0 kurucu ortağı Lorenzo Romagnoli de AnchorWatch CEO’su Rob Hamilton ile yaptığı karşılıklı tartışmada Liquid Network hacker’ını destekleyen argümanlar paylaştı. “Kelimenin tam anlamıyla 3.400 BTC’yi geri verdi; bunun ne kadar düşük bir ihtimal olduğuna dair hiçbir fikriniz yok,” diye yazdı ve “[North Korea] would have rekted the whole thing, that is a black hat.” diye ekledi.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

The Bitcoin-Dollar yazarı Mark Goodwin de benzer bir görüş paylaşarak, “Siz ve 14 arkadaşınız bunu güvenli şekilde saklayamadıktan sonra bir hacker’ın size neredeyse 300 milyon doları iade ettiğini ve sonra bundan şikâyet ettiğinizi düşünün?” diye yazdı.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Açık olmak gerekirse, önde gelen Bitcoin endüstrisi temsilcileri arasında bunu kesin anlamda white-hat bir hacking olayı olarak nitelendirecek biri görünmüyor.

Black-hat davası

Bu tartışmadaki karşıt kesim, iade edilen 3.400 Bitcoin’den çok hacker’ların olaydan elde edilen 600 Bitcoin’i hâlâ elinde tutmasıyla ilgileniyor. Bitcoin geliştiricisi ve çeşitli Bitcoin Improvement Proposal’ların (BIP’ler) yazarı Calvin Kim, %15’lik kesintinin kabul edilebilir görülmesinin açık bir mesaj gönderdiği konusunda uyardı. 

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

“İnsanları hack’leyip %15’ini alın. Bu artık hırsızlık olarak bile görülmüyor!” diye yazdı. “Bu hızla gidersek, insanların açıklar içeren [pull requests] göndererek hack’leyip %15’lerini almasına şaşırmam.”

Ledger CTO’su Charles Guillemet bunu “doğrudan gasp” olarak nitelendirdi. “Bu kişiler dürüst olsaydı Blockstream’le iletişime geçip açığı güvenlik ekibine açıklardı,” diye yazdı. “Bundan sonra Blockstream, Liquid ve kullanıcıları için en iyisinin ne olduğuna karar verirdi: ağı durdurmak, açığı düzeltmek ve ardından araştırmacıya veya araştırmacılara bir bug bounty ödemek. Bunun dışındaki her davranış gasptır.” Daha önce, 3.400 Bitcoin’in iade edilmesinin ardından da “Bu, white-hat hacking’den çok gaspa benziyor!” demişti.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Yukarıda adı geçen Hamilton da aynı derecede açık konuştu. Sztorc’a yanıt olarak, “Şifreli iletişimlerin ne yaptığını bilmiyoruz, ancak bir kesinti müzakere ederken miktarı elde tutmak white hat davranışı değildir,” diye yazdı. Hamilton ayrı bir konuşmada, white-hat çerçevesinin tamamının saldırganlarla başladığına da dikkat çekti. “Saldırgan, kendisini white hat olarak tanımlayarak tüm bu çerçeveyi başlatmasaydı white hat kelimesini bile kullanmıyor olurduk. Hayır, onların çerçevesini kabul ederek bu konuşmayı başlatmayacağım.”

Kişi kendisine basitçe ‘white hat’ diyemez

Kendini “white hat” olarak tanımlama etiketinin mahkemede önem taşımayabileceğini de belirtmek gerekir. Gart’in kurucusu Alena Vránová, açığı istismar etmenin, 4.000 Bitcoin almanın ve bir düzeltme talep etmenin gasp olduğunu yazdı. “Bu, ağır suçlamalara ve uzun süreli hapis cezasına yol açabilir,” diye ekledi. “ABD’de 20 yıla kadar hapis söz konusu olabilir ve bilgisayar dolandırıcılığı suçlamaları buna daha fazlasını ekleyebilir.” Takip eden paylaşımlarında mahkemelerin aradığı unsurları; bir talep, talep karşılanmadığında zarar verme tehdidi ve mülk veya bir avantaj elde etme niyeti olarak sıraladı. “Bir şeyi ‘bounty olarak alamaz veya elinizde tutamazsınız’,” diye yazdı. “Bunu yaparsanız hırsızlık + gasp + dolandırıcılık olur.”

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Takma ad kullanan Bitcoin Magazine teknik editörü Shinobi, çekilen fonların bir kısmının iade edilmesinin ardından benzer bir noktaya dikkat çekti. Taraf fonların %100’ünü geri göndermiş olsaydı, bir ödülün “tamamen hukuken güvenli” olabileceğini savundu. Kamuya açık bir müzakerenin ardından bir kısmını elde tutmanın ise onları “gasp suçundan açıkça ve kelimenin tam anlamıyla suçüstü yakalanmış” durumda bıraktığını yazdı.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Liquid’in geri kazanmakta zorlanacağı bir kayıp

Tartışmada bir ölçüde gözden kaçan nokta, Liquid’in hiçbir zaman güçlü bir gelir üreticisi olmadığı ve uzun süredir görece sınırlı kullanımı nedeniyle alay konusu edildiğidir. Bir X kullanıcısı, Liquid Network’ün mevcut 600 Bitcoin açığını yalnızca işlem ücretleriyle karşılamasının varsayımsal olarak ne kadar süreceğini sorduğunda Grok, bunun yaklaşık 258 yıl alacağını tahmin etti.

Bununla birlikte Blockstream, Liquid Network hack’iyle bağlantılı olarak fidye olarak gördüğü ödemeyi yapmayacağını açıkça belirtti. Şirket X’te, “Blockstream çalınan fonların iadesi için fidye ödemeyecek. Varlıkları yetkisiz şekilde almak ve iadesini alıkoymak bir suçtur, sorumlu açıklama değildir. Bu white-hat faaliyeti değildir. Bu hırsızlıktır,” açıklamasını yaptı.