Злам Liquid Network: білий хакер, чорний хакер чи щось інше?

​Сторона, яка скористалася вразливістю Liquid Network, спочатку назвала себе білим хакером у повідомленні в блокчейні. Однак значна частина користувачів Bitcoin не прийняла це визначення. Після того як із мультипідписного федеративного гаманця, що забезпечує Liquid Bitcoin (L-BTC) у Liquid Network, було виведено приблизно 4 000 Bitcoin, та сама сторона повернула 3 400 Bitcoin, а близько 598,5 Bitcoin, вартістю приблизно $47 мільйонів на момент виведення, залишила собі. Дискусія, що виникла після цього у Bitcoin Twitter, часом перетворювалася на гостру суперечку про те, чи є цей залишок винагородою за виявлення вразливості, викупом або чимось іншим.

Розбір подій

6 вересня консенсусна помилка в Elements — програмному забезпеченні з відкритим кодом, на якому працює Liquid, — дозволила стороні створити близько 4 000 L-BTC, не забезпечених відповідним депозитом у базовому блокчейні Bitcoin. Пізніше Chainalysis описала вразливість як проблему в тому, як вузли Liquid кешували перевірки range proof, що використовуються технологією підвищення конфіденційності Liquid, відомою як Confidential Transactions. Некоректні дані могли сприйматися як результат попередньої перевірки, що дозволило зловмисникам карбувати незабезпечені L-BTC.

Liquid Federation переказала близько 3 996 Bitcoin на адресу призначення в блокчейні Bitcoin, оскільки транзакція виглядала як спалювання справжніх, дійсних L-BTC. Важливо зазначити: під час атаки ключі федерації не було викрадено або скомпрометовано. Водночас SideSwap взяла на себе відповідальність за власну роль в інциденті, оскільки не впровадила достатніх перевірок коректності або часових затримок для своєї автоматизованої системи peg-out. «Саме ця конструкція перетворила оборотну подію в Liquid на незворотний платіж у Bitcoin», — написала SideSwap.

Зрештою хакери повернули 3 400 Bitcoin на адресу федерації, а решту залишили собі. Відтоді переговори між двома сторонами тривають через транзакції OP_RETURN, опубліковані в блокчейні Bitcoin; однак наразі незрозуміло, чи переказуватимуть хакери додаткові кошти на адресу федерації після того, як публічні переговори стали дедалі гострішими.

Саме те, що хакери досі утримують майже 600 Bitcoin, спричинило дискусію про те, як класифікувати цей інцидент. Деякі користувачі Bitcoin та представники криптоіндустрії вважають це неофіційною винагородою, отриманою після недбалого провалу безпеки, тоді як інші стверджують, що утримання монет із вимогою виправити вразливість, а потім залишення частини коштів собі — це щонайменше поведінка сірого хакера, а в найгіршому разі — кримінальне вимагання.

Аргументи прихильників версії про сірого хакера

Генеральний директор Layer Two Labs і винахідник drivechains Пол Сторц заявив: «Я думаю, що чайові в розмірі 15% — цілком розумні». Без певної винагороди, написав він, стимулом буде «негайно забрати ВСІ монети», «негайно ЗМІШАТИ їх усі» та «ніколи ні з ким НЕ контактувати». Пізніше він додав, що сприйнята ним відсутність вдячності за повернуті 3 400 Bitcoin «здається мені доволі огидною».

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Співзасновник USDT0 Лоренцо Романьйолі також навів аргументи на підтримку хакера Liquid Network у перепалці з генеральним директором AnchorWatch Робом Гамільтоном. «Він буквально повернув 3 400 BTC, ви навіть не уявляєте, наскільки це малоймовірно», — написав він, додавши, що «[North Korea] знищила б усе, це був би чорний хакер».

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Автор Bitcoin-Dollar Марк Гудвін висловив подібну думку, написавши: «Уявіть, що хакер повернув вам майже 300 млн, після того як ви та 14 ваших друзів не змогли безпечно їх зберігати, а ви ще й скаржитеся на це?»

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Водночас, схоже, немає впливових представників індустрії Bitcoin, які зайшли б так далеко, щоб назвати цей інцидент суто атакою білого хакера.

Аргументи на користь версії про чорного хакера

Протилежна сторона цієї дискусії більше зосереджена на тому, що хакери досі утримують 600 Bitcoin, отриманих унаслідок інциденту, ніж на 3 400, які вже повернули. Розробник Bitcoin і автор різних пропозицій щодо вдосконалення Bitcoin (BIP) Келвін Кім попередив, що визнання 15% прийнятною часткою надсилає чіткий сигнал. 

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

«Зламуйте людей і забирайте 15%. І це навіть не вважають крадіжкою!» — написав він. «Такими темпами я не здивуюся, якщо люди почнуть створювати [pull requests] із вразливостями, щоб потім зламати систему й отримати свої 15%».

Технічний директор Ledger Шарль Гійме назвав це «звичайнісіньким вимаганням». «Якби ці люди були чесними, вони зв’язалися б із Blockstream і пояснили вразливість команді безпеки», — написав він. «Після цього Blockstream вирішила б, що найкраще для Liquid і його користувачів: призупинити роботу мережі, усунути вразливість, а потім виплатити досліднику або дослідникам винагороду. Будь-яка інша поведінка є вимаганням». У попередній публікації, після повернення 3 400 Bitcoin, він також заявив: «Це більше схоже на вимагання, ніж на злам білим хакером!»

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Згаданий вище Гамільтон був так само прямолінійним. «Ми не знаємо, чим займалися зашифровані канали зв’язку, але утримання коштів під час переговорів про частку — це не поведінка білого хакера», — написав він у відповідь Сторцу. В іншій розмові Гамільтон також зазначив, що всю концепцію білого хакера започаткували самі зловмисники. «Ми взагалі не використовували б термін “білий хакер”, якби нападник не почав формувати весь контекст, сам назвавши себе білим хакером. Ні, дякую — я не починатиму розмову з прийняття їхньої інтерпретації».

Не можна просто назвати себе «білим хакером»

Також варто зазначити, що проголошений самими себе статус «білих хакерів» може не мати значення в суді. Засновниця Gart Алена Вранова написала, що використання вразливості, привласнення 4 000 Bitcoin і вимога виправити проблему є вимаганням. «Це може означати обвинувачення у тяжкому злочині та тривалий термін ув’язнення», — додала вона. «У США — до 20 років, а обвинувачення у комп’ютерному шахрайстві можуть додати ще більше». У наступних публікаціях вона окреслила елементи, на які звертають увагу суди: вимога, загроза завдати шкоди, якщо вимогу не буде виконано, і намір отримати майно або перевагу. «Вони не можуть “взяти або залишити щось собі як винагороду”», — написала вона. «Якщо вони це роблять, це крадіжка + вимагання + шахрайство».

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Псевдонімний технічний редактор Bitcoin Magazine Shinobi висловив подібну думку після часткового повернення виведених коштів. Якби сторона повернула 100%, стверджував він, винагорода була б можливою «повністю в межах закону». За його словами, залишення частини коштів після публічних переговорів означає, що вони «беззаперечно винні у вимаганні, буквально здійсненому публічно».

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Збиток, який Liquid буде важко компенсувати

Один момент, який дещо загубився в цій дискусії, полягає в тому, що Liquid ніколи не була потужним джерелом доходу, а її давно висміюють за відносно низький рівень використання. Жартома відповідаючи на запит користувача X про те, скільки теоретично часу знадобилося б Liquid Network, щоб покрити поточний дефіцит у 600 Bitcoin лише за рахунок комісій за транзакції, Grok оцінив цей термін приблизно у 258 років.

Водночас Blockstream чітко заявила, що не платитиме те, що вважає викупом, пов’язаним зі зламом Liquid Network. У X компанія заявила: «Blockstream не платитиме викуп за повернення викрадених коштів. Несанкціоноване заволодіння активами та утримання їх замість повернення є злочином, а не відповідальним розкриттям вразливості. Це не діяльність білого хакера. Це крадіжка».