Τι ακριβώς συνέβη;
Στις 6 Σεπτεμβρίου σημειώθηκε εκμετάλλευση μιας ευπάθειας στο Liquid Network, το οποίο λειτουργεί η εταιρεία Blockstream. Το Liquid είναι ένα λεγόμενο sidechain πάνω από το Bitcoin, όπου το L-BTC (Liquid Bitcoin) είναι token που υποτίθεται ότι καλύπτεται από πραγματικά bitcoin σε αναλογία 1:1.
Σύμφωνα με την περιγραφή του CryptoSlate, το σφάλμα επέτρεψε στον επιτιθέμενο να δημιουργήσει περίπου 4.000 μη καλυμμένα L-BTC και, μέσω της υπηρεσίας SideSwap, να αποσύρει περίπου 3.996 πραγματικά BTC. Με άλλα λόγια, ο επιτιθέμενος κατασκεύασε token χωρίς κάλυψη και τα αντάλλαξε με πραγματικά bitcoin.
Αφού η Blockstream εφάρμοσε τη διόρθωση στους επηρεαζόμενους κόμβους (nodes), μέρος των κεφαλαίων επιστράφηκε.
Πόσα χρήματα επιστράφηκαν και πόσα λείπουν;
Το Liquid, σύμφωνα με το The Defiant, ενημέρωσε στις 8 Σεπτεμβρίου ότι ο επιτιθέμενος επέστρεψε 3.400 BTC και ότι εκείνη τη στιγμή παρέμεναν ανεξόφλητα περίπου 598,5 BTC.
| Στοιχείο | Ποσότητα BTC | Πηγή |
|---|---|---|
| Εκτίμηση αρχικά αποσυρθέντων κεφαλαίων | ~3.996 BTC | CryptoSlate |
| Επιστράφηκαν από τον επιτιθέμενο | 3.400 BTC | The Defiant, Incrypted |
| Απομένουν ανεξόφλητα | ~598,5 BTC | The Defiant, Decrypt |
Η αξία του υπολειπόμενου ποσού διαφέρει ελαφρώς μεταξύ των πηγών ανάλογα με την ισοτιμία τη στιγμή της συγγραφής: το Decrypt αναφέρει περίπου 47 εκατομμύρια δολάρια, το CryptoSlate μιλά για περίπου 50 εκατομμύρια δολάρια. Πρόκειται για εκτίμηση που μεταβάλλεται με την τιμή του Bitcoin.
Τι απαιτεί ο επιτιθέμενος;
Σύμφωνα με το CryptoSlate, ο επιτιθέμενος, αφού επέστρεψε 3.400 BTC, ζήτησε «αμοιβή» (bounty) ύψους 10%, την οποία θα έπρεπε να πληρώσει η Blockstream από τα δικά της κεφάλαια. Ταυτόχρονα, φέρεται να προειδοποίησε ότι διαφορετικά οι κάτοχοι θα μπορούσαν να υποστούν ζημία ύψους περίπου 15%.
Πρόκειται λοιπόν για διαφωνία σχετικά με το αν πρέπει να καταβάλλεται αμοιβή για τη μερική επιστροφή κλεμμένων κεφαλαίων και ποιος θα έπρεπε να την πληρώσει.
Πώς αντέδρασε η Blockstream;
Η Blockstream, σε ανακοίνωσή της στις 11 Σεπτεμβρίου στο δίκτυο X, δήλωσε ότι δεν θα πληρώσει λύτρα. Η εταιρεία, σύμφωνα με τα Incrypted και Decrypt, χαρακτήρισε την ενέργεια κλοπή και όχι υπεύθυνη αναφορά ευπάθειας.
Σε μετάφραση του νοήματος της ανακοίνωσης (Incrypted): η απόκτηση περιουσιακών στοιχείων χωρίς άδεια και η άρνηση επιστροφής τους αποτελεί ποινικό αδίκημα, όχι responsible disclosure, και δεν πρόκειται για δραστηριότητα τύπου white hat. Ο όρος «white hat» υποδηλώνει έναν ερευνητή ασφάλειας που αναφέρει το σφάλμα και επιστρέφει τα κεφάλαια, συνήθως έναντι προσυμφωνημένης αμοιβής.
Το Decrypt προσθέτει ότι, εάν τα κεφάλαια δεν επιστραφούν, η Blockstream σκοπεύει να απευθυνθεί στις αρχές επιβολής του νόμου.
Γιατί είναι σημαντικό;
Η διαφωνία αποτελεί παράδειγμα μιας ευρύτερης συζήτησης στο crypto: πώς πρέπει να στέκεται ο κλάδος απέναντι σε επιτιθέμενους που επιστρέφουν μέρος των κεφαλαίων και για το υπόλοιπο διεκδικούν «αμοιβή». Η Blockstream επιλέγει σκληρή γραμμή και πλαισιώνει το όλο ζήτημα ως κλοπή, όχι ως διαπραγμάτευση για bug bounty.
Τι παραμένει αβέβαιο;
Από τις διαθέσιμες πηγές δεν προκύπτει προς το παρόν αν και πώς υποβλήθηκαν μηνύσεις, αν ο επιτιθέμενος έχει ταυτοποιηθεί, ούτε αν θα υπάρξει περαιτέρω επιστροφή κεφαλαίων. Επίσης δεν είναι επιβεβαιωμένο ποια ακριβώς ζημία θα έπεφτε ενδεχομένως στους κατόχους L-BTC. Αυτά είναι τα σημεία που αξίζει να παρακολουθούνται σε παρόμοιες περιπτώσεις.