Liquid Network hack’i: White hat, black hat yoki boshqa narsa?

​Liquid Network’dan foydalangan tomon dastlab on-chain xabar orqali o‘zini white-hat aktyor sifatida tanishtirdi. Ammo bu ta’rif Bitcoin foydalanuvchilarining katta qismi tomonidan qabul qilinmadi. Liquid Network’dagi Liquid Bitcoin (L-BTC)ni ta’minlab turuvchi multisig federatsiya hamyonidan qariyb 4 000 Bitcoin chiqib ketganidan so‘ng, ayni tomon 3 400 Bitcoin’ni qaytardi va o‘sha paytda taxminan 47 million dollar qiymatga ega bo‘lgan qariyb 598,5 Bitcoin’ni o‘zida qoldirdi. Shundan keyin Bitcoin Twitter’dagi muhokama ba’zida qolgan mablag‘lar bug bounty, ransom yoki boshqa narsa ekanligi haqidagi keskin bahsga aylandi.

Nima bo‘lganini ko‘rib chiqamiz

6-sentabr kuni Liquid’ni quvvatlovchi open-source dastur — Elements’dagi consensus bug biror tomonga Bitcoin’ning asosiy blokcheynidagi tegishli depozit bilan ta’minlanmagan qariyb 4 000 L-BTC yaratish imkonini berdi. Keyinchalik Chainalysis bu zaiflikni Liquid’ning privacy’ni kuchaytiruvchi texnologiyasida, ya’ni Confidential Transactions da qo‘llanadigan range-proof tekshiruvlarini Liquid node’lari keshlash usulidagi muammo sifatida tasvirladi. Noto‘g‘ri ma’lumot avval tekshirilgan natija sifatida qabul qilinishi mumkin edi, bu esa hujumchilarga ta’minlanmagan L-BTC’ni mint qilish imkonini berdi.

Liquid Federation Bitcoin blokcheynidagi destination address’ga qariyb 3 996 Bitcoin jo‘natdi, chunki tranzaksiya haqiqiy L-BTC’ni yoqishni nazarda tutgandek ko‘rindi. Aniq aytganda, hujumda federatsiya kalitlari o‘g‘irlanmagan yoki buzilmagan. Shunga qaramay, SideSwap hodisadagi o‘z rolini zimmasiga oldi, chunki ular avtomatlashtirilgan peg-out tizimi bilan bog‘liq yetarli sanity check’lar yoki time delay’larni joriy qilmagan edi. “Aynan shu dizayn Liquid’dagi qaytarilishi mumkin bo‘lgan hodisani Bitcoin’dagi qaytarib bo‘lmaydigan to‘lovga aylantirdi”, deb yozdi SideSwap.

Oxir-oqibat, hakerlar 3 400 Bitcoin’ni federatsiya manziliga qaytardi va qolganini o‘zida qoldirdi. Shundan beri ikki tomon o‘rtasidagi muzokaralar Bitcoin blokcheynida e’lon qilingan OP_RETURN tranzaksiyalari orqali davom etmoqda; biroq ommaviy muzokaralar tobora keskinlashganidan so‘ng, hakerlar federatsiya manziliga yana mablag‘ yuboradimi-yo‘qmi, hozircha noma’lum.

Hakerlar hanuz qariyb 600 Bitcoin’ni ushlab turgani bu hodisani qanday tasniflash kerakligi haqidagi bahsga sabab bo‘ldi. Ayrim Bitcoin foydalanuvchilari va crypto industriyasi insayderlari buni sust xavfsizlikdan keyin olingan norasmiy bounty deb biladi, boshqalar esa coin’larni ushlab turib patch talab qilishni, keyin esa bir qismini o‘zida qoldirishni eng yaxshi holatda grey-hat, eng yomon holatda esa jinoiy tovlamachilik deb hisoblaydi.

Grey-hat qarash tarafdorlari

Layer Two Labs CEO’si va drivechain’lar ixtirochisi Paul Sztorc: “Menimcha, 15% tip juda maqbul”, deb yozdi. Uning ta’kidlashicha, hech qanday to‘lov bo‘lmasa, rag‘bat “BARCHA coin’larni darhol olish”, “ularning BARCHASINI darhol MIX qilish” va “hech qachon hech kim bilan bog‘lanmaslik” bo‘ladi. Keyinchalik u qaytarilgan 3 400 Bitcoin uchun minnatdorlik yetishmagandek ko‘ringanini “menimcha, juda noto‘g‘ri” deb qo‘shimcha qildi.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

USDT0 hammuassisi Lorenzo Romagnoli ham AnchorWatch CEO’si Rob Hamilton bilan yozishmada Liquid Network hakeriga hamdard bo‘lgan dalillarni keltirdi. “U tom ma’noda 3 400 BTC’ni qaytardi, buning qanchalik ehtimoldan yiroq ekanini tasavvur ham qila olmaysiz”, deb yozdi u va “[North Korea] barchasini rekt qilgan bo‘lardi, bu black hat”, deya qo‘shimcha qildi.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

The Bitcoin-Dollar muallifi Mark Goodwin ham shunga o‘xshash fikr bildirdi: “Siz va 14 do‘stingiz uni xavfsiz saqlay olmagan bo‘lsangiz, haker sizga qariyb 300 mil. dollarni qaytarganidan keyin yana shikoyat qilayotganingizni tasavvur qiling.”

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Aniq aytganda, Bitcoin industriyasining mashhur insayderlari orasida buni qat’iy white-hat hacking hodisasi deb ataydiganlar ko‘rinmaydi.

Black-hat pozitsiyasi

Bu bahsdagi qarshi tomon allaqachon qaytarilgan 3 400 Bitcoin’dan ko‘ra, hakerlar hodisa natijasida olingan 600 Bitcoin’ni hanuz ushlab turganiga ko‘proq e’tibor qaratmoqda. Bitcoin dasturchisi va turli Bitcoin Improvement Proposal’lar (BIP’lar) muallifi Calvin Kim 15% ulushni maqbul deb bilish aniq signal berishini aytdi. 

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

“Odamlarni hack qiling va 15% oling. Bu hatto theft deb ham qaralmayapti!” deb yozdi u. “Shu sur’atda ketsak, odamlar zaifliklar bo‘yicha [pull requests] yaratib, keyin hack qilib 15% olishiga hayron qolmayman.”

Ledger CTO’si Charles Guillemet buni “to‘g‘ridan-to‘g‘ri extortion” deb atadi. “Agar bu odamlar halol bo‘lganida, Blockstream bilan bog‘lanib, zaiflikni security team’ga tushuntirgan bo‘lardi”, deb yozdi u. “Shundan so‘ng Blockstream Liquid va uning foydalanuvchilari uchun eng yaxshi yo‘lni tanlagan bo‘lardi: tarmoqni pauza qilish, zaiflikni tuzatish va keyin tadqiqotchi(lar)ga bounty to‘lash. Boshqa har qanday xatti-harakat — extortion.” 3 400 Bitcoin qaytarilgandan keyingi avvalgi postida u yana shunday degan: “Bu white-hat hacking’dan ko‘ra extortion’ga ko‘proq o‘xshaydi!”

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Yuqorida tilga olingan Hamilton ham xuddi shunday to‘g‘ridan-to‘g‘ri fikr bildirdi. Sztorc’ga javoban u shunday yozdi: “Encrypted comms nimani muhokama qilganini bilmaymiz, ammo ulush bo‘yicha muzokara olib borar ekan, mablag‘larni ushlab turish white-hat xatti-harakati emas.” Boshqa suhbatda Hamilton butun white-hat talqini hujumchilarning o‘zidan boshlanganini ham ta’kidladi. “Agar hujumchi o‘zini white hat deb tanishtirib, butun framing’ni boshlamaganida, biz white hat so‘zidan ham foydalanmagan bo‘lardik. Yo‘q, ularning framing’ini qabul qilgan holda suhbatni boshlamayman.”

Inson o‘zini shunchaki ‘white hat’ deb atay olmaydi

O‘zini “white hat” deb atash sudda ahamiyatga ega bo‘lmasligi ham mumkinligini qayd etish lozim. Gart asoschisi Alena Vránová bug’dan foydalanish, 4 000 Bitcoin’ni olish va tuzatish talab qilish extortion ekanini yozdi. “Bu og‘ir jinoyat bo‘yicha ayblovlar va uzoq muddatli qamoq jazosiga olib kelishi mumkin”, deya qo‘shimcha qildi u. “AQShda 20 yilgacha, computer fraud bo‘yicha ayblovlar esa jazoni yanada oshirishi mumkin.” Keyingi postlarida u sudlar izlaydigan elementlarni sanab o‘tdi: talab, talab bajarilmasa zarar yetkazish tahdidi va mulk yoki afzallikni qo‘lga kiritish niyati. “Ular ‘biror narsani bounty sifatida olishi yoki ushlab turishi’ mumkin emas”, deb yozdi u. “Agar shunday qilsa, bu theft + extortion + fraud.”

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Taxallusdan foydalanuvchi Bitcoin Magazine texnik muharriri Shinobi ham chiqarib olingan mablag‘larning bir qismi qaytarilganidan so‘ng shunga o‘xshash fikr bildirdi. Agar tomon mablag‘ning 100%ini qaytarganida, bounty “huquqiy jihatdan mutlaqo toza” bo‘lishi mumkin edi, deb ta’kidladi u. Ommaviy muzokaradan keyin bir qismini o‘zida qoldirish esa ularni “ochiqchasiga amalga oshirilgan extortion bo‘yicha so‘zsiz aybdor” qilib qo‘yadi, deb yozdi u.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Liquid qayta ishlab topishga qiynaladigan zarar

Muhokamada biroz e’tibordan chetda qolgan jihatlardan biri shuki, Liquid hech qachon daromad keltirish bo‘yicha kuchli tarmoq bo‘lmagan va nisbatan cheklangan qo‘llanilishi sabab uzoq vaqtdan beri masxara qilib kelinadi. X foydalanuvchisi Liquid Network joriy 600 Bitcoin taqchilligini faqat tranzaksiya komissiyalari hisobidan qoplashiga nazariy jihatdan qancha vaqt ketishini so‘raganida, Grok hazil tariqasida bu taxminan 258 yil davom etishini hisoblab chiqdi.

Shunga qaramay, Blockstream Liquid Network hack’i bilan bog‘liq ransom deb hisoblayotgan to‘lovni amalga oshirmasligini aniq bildirdi. Kompaniya X’da shunday dedi: “Blockstream o‘g‘irlangan mablag‘larni qaytarish uchun ransom to‘lamaydi. Aktivlarni ruxsatsiz olish va ularni qaytarishni ushlab turish jinoyat, mas’uliyatli disclosure emas. Bu white-hat faoliyati emas. Bu theft.”