Liquid Networkin Hyökkäys ja Valkohattustatus
Immunefin toimitusjohtaja Mitchell Amador on todennut, että Liquid Networkin hyökkääjät menettivät kaiken vaatimuksen valkohattustatuksestaan säilyttämällä 598,5 BTC sen jälkeen, kun he palauttivat 3 400 BTC noin 4 000 BTC:n hyökkäyksestä. Amador kertoi crypto.newsille, että käyttäjävarojen siirtämistä ilman lupaa ei voida pitää pelastuksena, kun tutkija myöhemmin pitää osan varoista tai asettaa maksuehtoja.
”Koordinoitu ilmoittaminen päättyy heti, kun asetat ehdot itse”, Amador sanoi. ”Raha ei koskaan ollut sinun pelastettavaksesi, joten sen siirtäminen ei ole pelastus.”
Hyökkäyksen Taustat
Hänen kommenttinsa käsittelevät Liquid Networkin tapausta, jossa tuntemattomat toimijat nostivat noin 4 000 BTC, jonka arvo oli noin 320 miljoonaa dollaria tuolloin, ennen kuin he kuvasivat itseään valkohattuina. He palauttivat 3 400 BTC sen jälkeen, kun Blockstream korjasi vaikuttavat silta-solmut, mutta säilyttivät 598,5 BTC. Blockstream on hylännyt ryhmän vaatimuksen 10 % palkkiosta ja ilmoittanut, ettei se maksa jäljellä olevien Bitcoinien palauttamisesta.
Yhtiö on myös hylännyt hyökkääjien väitteen, että operaatio olisi ollut vastuullista ilmoittamista. Amador sanoi, että turvallisuustutkijan on käytettävä yksityisiä ilmoituskanavia, mieluiten määritellyn bugipalkkio-ohjelman kautta, sen sijaan että ottaisi varoja ja neuvottelisi palkkiosta myöhemmin.
Turvallisuustutkijoiden Ehdot
”Pidä yksi dollari käyttäjävaroja, ja se on varkaus, riippumatta siitä, mikä aikomus oli alussa. Tutkijan polku on yksityinen ilmoittaminen, mieluiten hyvin määritellyn ohjelman puitteissa.”
Ero perustuu valtuutukseen eikä tutkijan ilmoitettuun motiiviin. Amadorin näkemyksen mukaan todellisen haavoittuvuuden löytäminen ei anna kenellekään oikeutta siirtää käyttäjävaroja, pitää niitä vakuutena tai päättää, mitä korvausta on maksettava.
Blockstreamin Reaktio
Blockstream otti samanlaisen kannan 11. syyskuuta antamassaan vastauksessa. Kuten crypto.news on aiemmin raportoinut, yhtiö totesi, että varojen ottaminen ilman lupaa ja niiden palauttamisen kieltäminen muodostavat varkauden, eivätkä valkohattutyötä. Yhtiö kertoi, että sen aikaisemmat keskustelut toimijoiden kanssa oli tarkoitettu käyttäjävarojen palauttamiseksi ja Bitcoin-yhteisön suojelemiseksi.
Ennalta Määrätyt Pelastusehdot
Amador sanoi, että vakavien protokollien tulisi päättää pelastusehdot ennen hätätilanteen syntymistä. ”Kyllä, pelastusehtojen on oltava olemassa ennen hyökkäystä”, hän sanoi. ”Kaikkien vakavien protokollien tulisi asettaa nämä etukäteen.” Ennalta määrätyt säännöt voivat määrittää, mitä järjestelmiä tutkijat voivat testata, miten heidän on ilmoitettava haavoittuvuudesta ja mitä toimia he voivat toteuttaa aktiivisen tapahtuman aikana.
Ne voivat myös määrittää maksimaalisen palkkion, maksuehdot ja oikeudelliset suojat tutkijoille, jotka pysyvät hyväksytyn laajuuden sisällä. Immunefi kehitti Whitehat Safe Harbor -kehyksen tällaisen ehdotuksen luomiseksi ennen kuin protokolla kohtaa hyökkäyksen.
Kryptoteollisuuden Käytännöt
Amador, joka auttoi kehittämään kehystä ja on osallistunut live-hyökkäysvastausryhmiin, vertasi hätätoimia talon pelastamiseen tulipalosta: avun tarve ei oikeuta jokaista mahdollista pelastusmenetelmää. Ennalta sovitut sopimukset antavat myös protokollatiimeille perustan hyväksytyn puuttumisen erottamiseksi pakottamisesta.
Ilman ennakkoehtoja toimija, joka hallitsee käyttäjävaroja, voi vaatia maksua, kun projekti kohtaa tappioita, palveluhäiriöitä ja painetta tokenin haltijoilta.
Hyökkäyksen Jälkeiset Tapahtumat
Liquidin toimijat kommunikoivat aluksi viesteillä, jotka oli sijoitettu Bitcoin-transaktioihin, ja kertoivat Blockstreamille, että sen tulisi korjata virhe ennen varojen palauttamista. Kun Blockstream vahvisti, että vaikuttavat silta-solmut oli korjattu, ryhmä lähetti 3 400 BTC takaisin federaation lompakkoon. Julkisesti ilmoitettua sopimusta ei ollut, joka olisi sallinut ryhmän säilyttää jäljellä olevan 598,5 BTC.
Tämä määrä ylittää myös 10 % noin 4 000 BTC:stä, vaikka ilmoitettu vaatimus keskittyi 10 % palkkiosta. Vaikka Amador hylkäsi Liquidin toimijoiden yrityksen asettaa omat ehtonsa, hän puolusti kryptoteollisuuden epävirallista käytäntöä tarjota jopa 10 % vaarassa olevista varoista valkohattupalkkiona.
Palkkioiden Määrittely
Ilman yhteistä vertailupistettä, hän sanoi, jokainen sovinto olisi neuvoteltava alusta alkaen, mikä antaisi hyökkääjälle enemmän valtaa aktiivisen tapahtuman aikana. Määritelty prosenttiosuus antaa tutkijoille laillisen maksureitin samalla kun se mahdollistaa protokollan palauttaa suurimman osan altistetuista varoista.
”Kymmenen prosenttia 100 miljoonan dollarin hyökkäyksestä on 10 miljoonaa dollaria ansaittuna laillisesti, ilman että kukaan metsästää sinua sen jälkeen”, Amador sanoi.
”Vaihtoehto heille on siirtää yhdeksän numeroa onchain, kun jokainen forensiikkatoimisto katsoo.” 10 %:n luku on ilmestynyt useissa palautustarjouksissa, mutta projektit ilmoittavat yleensä ehdot itse.
Johtopäätökset
Amador sanoi, että palkkion tulisi yleisesti olla jopa 10 % vaarassa olevista varoista, mutta sen tulisi pysyä protokollan maksukyvyn rajoissa. Liian alhaisen määrän asettaminen voisi tehdä varkaudesta houkuttelevampaa kuin ilmoittamisesta, hän sanoi, kun taas liiallinen maksu voisi jättää pelastetun projektin kykenemättömäksi jatkamaan toimintaa.
”Hinnoittele se liian korkeaksi, ja maksaminen voi tappaa protokollan, jonka juuri pelastit, mikä ei auta ketään”, hän sanoi. Projektit voivat silti maksaa yli ilmoitetun kattonsa, kun raportti oikeuttaa suuremman palkkion, Amador lisäsi.
Hänen ehdottamassaan mallissa protokolla säilyttää päätöksenteon hallinnan sen sijaan, että sallisi tutkijan määrittää maksun sen jälkeen, kun hän on ottanut haltuunsa käyttäjävarat.
Yhdysvalloissa toimiville tutkijoille varojen palauttaminen tai neuvottelutarjouksen tekeminen ei välttämättä estä rikossyytteitä, kun alkuperäinen pääsy oli luvaton. Joulukuussa 2023 entinen turvallisuusteknikko Shakeeb Ahmed myönsi syyllisyytensä tietokonepetokseen kahden hajautetun pörssin hyödyntämisestä ja yli 12 miljoonan dollarin saamista.
Yhdysvaltain oikeusministeriön mukaan Ahmed neuvotteli yhden alustan kanssa ja ehdotti varastettujen varojen palauttamista lukuun ottamatta 1,5 miljoonaa dollaria, jos pörssi suostuisi olemaan ottamatta yhteyttä lainvalvontaviranomaisiin. Liittovaltion syyttäjät kertoivat, että Ahmed suostui myöhemmin luopumaan yli 12,3 miljoonasta dollarista, mukaan lukien noin 5,6 miljoonaa dollaria petoksella hankittua kryptovaluuttaa. Huhtikuussa 2024 liittovaltion tuomari tuomitsi hänet kolmeen vuoteen vankeuteen ja määräsi varastettujen varojen takavarikoimisen.
