Kaj se je natančno zgodilo?
- septembra je prišlo do izkoriščanja ranljivosti v omrežju Liquid Network, ki ga upravlja podjetje Blockstream. Liquid je tako imenovani sidechain nad Bitcoinom, kjer je L-BTC (Liquid Bitcoin) token, ki naj bi bil krit z resničnimi bitcoini v razmerju 1:1.
Po opisu CryptoSlate je napaka napadalcu omogočila ustvariti približno 4.000 nekritih L-BTC in prek storitve SideSwap izvleči približno 3.996 dejanskih BTC. Z drugimi besedami, napadalec si je izdelal tokene brez kritja in jih zamenjal za resnične bitcoine.
Potem ko je Blockstream namestil popravek na prizadeta vozlišča (nodes), se je del sredstev vrnil.
Koliko denarja se je vrnilo in koliko manjka?
Liquid je po navedbah The Defiant 8. septembra sporočil, da je napadalec vrnil 3.400 BTC in da je v tistem trenutku ostalo neporavnanih približno 598,5 BTC.
| Postavka | Količina BTC | Vir |
|---|---|---|
| Ocena prvotno izvlečenih sredstev | ~3.996 BTC | CryptoSlate |
| Vrnil napadalec | 3.400 BTC | The Defiant, Incrypted |
| Ostane neporavnano | ~598,5 BTC | The Defiant, Decrypt |
Vrednost preostalega zneska se v posameznih virih nekoliko razlikuje glede na tečaj v trenutku pisanja: Decrypt navaja približno 47 milijonov dolarjev, CryptoSlate govori o približno 50 milijonih dolarjev. Gre za oceno, ki se s ceno Bitcoina spreminja.
Kaj napadalec zahteva?
Po navedbah CryptoSlate je napadalec potem, ko je vrnil 3.400 BTC, zaprosil za "nagrado" (bounty) v višini 10 %, ki naj bi jo Blockstream plačal iz svojih lastnih sredstev. Hkrati naj bi opozoril, da bi drugače imetniki lahko nosili izgubo v višini približno 15 %.
Gre torej za spor o tem, ali se za delno vrnitev odtujenih sredstev naj izplača nagrada in kdo naj bi jo kril.
Kako se je odzval Blockstream?
Blockstream je 11. septembra v svoji izjavi na omrežju X navedel, da odkupnine ne bo plačal. Podjetje je po navedbah Incrypted in Decrypt dejanje označilo za krajo, ne pa za odgovorno prijavo ranljivosti.
V prevodu smisla izjave (Incrypted): pridobitev sredstev brez dovoljenja in zavrnitev njihove vrnitve je kaznivo dejanje, ne pa responsible disclosure, in ne gre za dejavnost tipa white hat. Pojem "white hat" pri tem označuje varnostnega raziskovalca, ki napako prijavi in sredstva vrne, običajno v zameno za vnaprej dogovorjeno nagrado.
Decrypt dodaja, da se namerava Blockstream, če sredstva ne bodo vrnjena, obrniti na organe pregona.
Zakaj je to pomembno?
Spor je prikaz širše razprave v kriptu: kako naj se panoga postavi do napadalcev, ki del sredstev vrnejo in za preostanek zahtevajo "nagrado". Blockstream izbira trdo linijo in celotno zadevo uokvirja kot krajo, ne kot pogajanje o bug bounty.
Kaj ostaja negotovo?
Iz razpoložljivih virov zaenkrat ne izhaja, ali in kako so bile vložene kazenske ovadbe, ali je napadalec identificiran, niti ali bo prišlo do nadaljnje vrnitve sredstev. Prav tako ni potrjeno, kakšna natančna izguba bi morebiti prizadela imetnike L-BTC. To so točke, ki jih je pri podobnih primerih smiselno spremljati.