Случай с необичаен развой разтърси криптосектора
Случай с необичаен развой разтърси криптосектора, след като близо 4000 биткойна на стойност над 300 млн. долара бяха изтеглени от Liquid Network.
Първоначално всичко изглеждало като мащабна кражба. Впоследствие обаче неизвестните извършители заявили, че са „бели шапки“ – специалисти по киберсигурност, които са открили уязвимост в системата. По думите им средствата ще бъдат върнати, след като проблемът бъде отстранен.
Liquid Network, разработена от Blockstream, функционира паралелно с Bitcoin и е предназначена да улеснява по-бързото прехвърляне и уреждане на транзакции между борси, търговци и други участници.
Преди атаката в общия портфейл на мрежата са се намирали около 4200 биткойна. Нападателите са успели да изтеглят приблизително 4000 от тях – около 95% от наличния резерв. Стойността им към момента на атаката е била около 320 млн. долара, докато последващи оценки са я поставили на приблизително 340 млн. долара заради промените в цената на биткойна.
Уязвимостта е била в софтуера
Особеното в случая е, че не става дума за откраднат частен ключ или за директно компрометиране на крипто портфейл.
Проблемът е бил открит в Elements – софтуера, върху който работи Liquid. Уязвимостта е позволила създаването на около 4000 L-BTC, които не са били обезпечени с реални биткойни.
След това чрез легитимния механизъм на платформата SideSwap тези токени са били конвертирани в истински BTC и изплатени от резерва на мрежата. Според Liquid и SideSwap техните ключове не са били компрометирани.
На практика софтуерният пропуск е позволил на системата да извърши плащания с биткойни, зад които не е имало реално обезпечение.
След установяването на атаката Liquid спира транзакциите, а борсите са уведомени да преустановят депозитите и тегленията на L-BTC. Blockstream започва комуникация с нападателите по необичаен начин – чрез съобщения, записани директно в Bitcoin транзакции.
Първото послание от атакуващите е, че те са „бели шапки“ и искат да установят контакт. Те поставят и условие: първо да бъде отстранена уязвимостта и всички възли в мрежата да бъдат актуализирани, а след това средствата да бъдат върнати.
Blockstream изпълнява това условие, като отстранява проблема. Нападателите впоследствие връщат по-голямата част от средствата.
На 7 септември те изпращат обратно точно 3400 биткойна – приблизително 85% от изтегленото количество. В техните портфейли обаче остават около 598,5 BTC, които към онзи момент са били на стойност приблизително 47 млн. долара.
Искане за 10% „награда“
Няколко дни след връщането на средствата ситуацията се усложнява допълнително. Нападателите настояват Blockstream да им изплати 10% награда за откриването на уязвимостта.
В съобщение, публикувано чрез блокчейна, те критикуват начина, по който компанията защитава инфраструктурата си, и представят задържаните биткойни като своеобразна награда за открития проблем.
Blockstream отказва.
Позицията на компанията е, че връщането на чужда собственост не може да бъде поставено в рамките на стандартна програма за награди за открити уязвимости. От Blockstream правят разграничение между отговорното докладване на проблем в сигурността и самоволното изтегляне на средства.
Отговорът на нападателите, сведен до основното, е искане за връщане на биткойните.
Бели шапки или хакери?
Случаят поставя под въпрос дали извършителите могат да бъдат определени като етични хакери.
При традиционното „white-hat“ хакерство специалистът открива уязвимост, съобщава за нея на засегнатата компания и евентуално получава предварително определена награда. В този случай обаче първо са били изтеглени стотици милиони долари, а едва след това са започнали разговори за условията, при които средствата да бъдат върнати.
Връщането на 3400 BTC несъмнено прави историята необичайна. Задържането на близо 600 биткойна обаче затруднява определянето на операцията като стандартна услуга в областта на киберсигурността.
Инцидентът поставя и по-широк въпрос за сигурността на криптоинфраструктурата. Liquid е създадена именно за бързо и ефективно движение на биткойни и други цифрови активи. В нейната федерация участват десетки борси, инфраструктурни компании и финансови организации.
Мрежата разчита на множество защитни механизми, а биткойните, които стоят зад L-BTC, се пазят чрез сложна система с множество подписи. В този случай обаче не е било необходимо тези механизми да бъдат директно пробити. Софтуерна грешка е позволила на системата да приеме активи, които не е трябвало да съществуват.
След атаката е пусната нова версия на Elements. На 10 септември Liquid възобновява производството на блокове и обработката на транзакции. Конвертирането на L-BTC обратно в биткойн обаче остава ограничено, докато продължават действията по обезопасяването на системата и възстановяването на резерва.
Междувременно се появява и втори риск. Blockstream предупреждава за измамници, които използват инцидента, за да се представят за представители на Liquid или Blockstream. Те се опитват да получат от потребители пароли, фрази за възстановяване на портфейли или директни преводи на средства.
Компанията подчертава, че потребителите не трябва да предприемат подобни действия.
Историята, започнала с изчезването на почти целия резерв на Liquid Network, засега завършва с отстранена софтуерна уязвимост, върнати 3400 биткойна и спор за още близо 600 BTC.
Неизвестните нападатели настояват, че са открили сериозен проблем и са предотвратили възможността той да бъде използван от други лица с по-злонамерени намерения. Blockstream обаче поддържа позицията, че изтеглянето на чужди средства без разрешение и последващото задържане на част от тях не представляват „white-hat“ хакерство.
В крайна сметка спорът остава нерешен, а биткойни за десетки милиони долари все още са извън контрола на Liquid.
