Čo sa presne stalo?
Dňa 6. septembra došlo k zneužitiu zraniteľnosti v sieti Liquid Network, ktorú prevádzkuje spoločnosť Blockstream. Liquid je takzvaný sidechain nad Bitcoinom, kde je L-BTC (Liquid Bitcoin) tokenom, ktorý má byť krytý reálnymi bitcoinmi v pomere 1:1.
Podľa popisu CryptoSlate umožnila chyba útočníkovi vytvoriť zhruba 4 000 nekrytých L-BTC a cez službu SideSwap vyviezť približne 3 996 skutočných BTC. Inými slovami, útočník si vyrobil tokeny bez krytia a vymenil ich za reálne bitcoiny.
Potom, čo Blockstream nasadil opravu na dotknuté uzly (nodes), časť prostriedkov sa vrátila.
Koľko peňazí sa vrátilo a koľko chýba?
Liquid podľa The Defiant informoval 8. septembra, že útočník vrátil 3 400 BTC a že v tú chvíľu zostávalo nesplatených približne 598,5 BTC.
| Položka | Množstvo BTC | Zdroj |
|---|---|---|
| Odhad pôvodne vyvedených prostriedkov | ~3 996 BTC | CryptoSlate |
| Vrátené útočníkom | 3 400 BTC | The Defiant, Incrypted |
| Zostáva nesplatené | ~598,5 BTC | The Defiant, Decrypt |
Hodnota zostávajúcej sumy sa v jednotlivých zdrojoch mierne líši podľa kurzu v okamihu písania: Decrypt uvádza zhruba 47 miliónov dolárov, CryptoSlate hovorí o zhruba 50 miliónoch dolárov. Ide o odhad, ktorý sa s cenou Bitcoinu mení.
Čo útočník požaduje?
Podľa CryptoSlate útočník potom, čo vrátil 3 400 BTC, požiadal o „odmenu“ (bounty) vo výške 10 %, ktorú by mal zaplatiť Blockstream zo svojich vlastných prostriedkov. Zároveň mal varovať, že inak by držitelia mohli niesť stratu vo výške zhruba 15 %.
Ide teda o spor o to, či sa za čiastočné vrátenie odcudzených prostriedkov má vyplácať odmena, a kto by ju mal hradiť.
Ako reagoval Blockstream?
Blockstream 11. septembra vo svojom vyhlásení na sieti X uviedol, že výkupné nezaplatí. Firma podľa Incrypted a Decrypt označila konanie za krádež, nie za zodpovedné nahlásenie zraniteľnosti.
V preklade zmyslu vyhlásenia (Incrypted): získanie aktív bez povolenia a odmietnutie ich vrátenia je trestný čin, nie responsible disclosure, a nejde o činnosť typu white hat. Pojem „white hat“ pritom označuje bezpečnostného výskumníka, ktorý chybu nahlási a prostriedky vráti, typicky výmenou za vopred dohodnutú odmenu.
Decrypt dodáva, že ak prostriedky nebudú vrátené, Blockstream sa chce obrátiť na orgány činné v trestnom konaní.
Prečo je to dôležité?
Spor je ukážkou širšej debaty v kryptu: ako sa má odvetvie stavať k útočníkom, ktorí časť prostriedkov vrátia a za zvyšok si nárokujú „odmenu“. Blockstream volí tvrdú líniu a rámuje celú vec ako krádež, nie ako vyjednávanie o bug bounty.
Čo zostáva neisté?
Z dostupných zdrojov zatiaľ nevyplýva, či a ako boli podané trestné oznámenia, či je útočník identifikovaný, ani či dôjde k ďalšiemu vráteniu prostriedkov. Rovnako nie je potvrdené, aká presná strata by prípadne dopadla na držiteľov L-BTC. Toto sú body, ktoré je pri podobných prípadoch vhodné sledovať.