Атакуючі Liquid Network втратили статус білих капелюхів: CEO Immunefi

CEO Immunefi Мітчелл Амадор заявив, що атакуючі Liquid Network втратили будь-які претензії на статус білих капелюхів, зберігши 598,5 BTC після повернення 3 400 BTC з приблизно 4 000 BTC, отриманих внаслідок експлуатації.

• Приблизно 598,5 BTC залишилося у атакуючих після повернення 3 400 BTC.
• Амадор зазначив, що координоване розкриття закінчується, коли дослідник встановлює умови порятунку без попереднього схвалення.
• Протоколи повинні встановити правила порятунку та межі винагороди до того, як станеться експлуатація.
• CEO Immunefi захистив традицію винагороди у 10%, коли команди схвалюють це заздалегідь.

Засновник і CEO Immunefi Мітчелл Амадор сказав crypto.news, що переміщення активів користувачів без дозволу не може вважатися порятунком, коли дослідник пізніше зберігає частину коштів або встановлює умови оплати.

"Координоване розкриття закінчується в момент, коли ви самі встановлюєте умови," - сказав Амадор. "Гроші ніколи не були вашими для порятунку, тому їх переміщення не є порятунком."

Його коментарі стосуються суперечки, що залишилася після інциденту з Liquid Network, в якому невідомі особи вивели приблизно 4 000 BTC, вартість яких на той момент становила близько 320 мільйонів доларів, перш ніж назвати себе білими капелюхами. Вони повернули 3 400 BTC після того, як Blockstream виправив уражені вузли мосту, але зберегли 598,5 BTC.

Blockstream відхилив вимогу групи про 10% винагороду і заявив, що не буде платити за повернення залишків Bitcoin. Компанія також відхилила претензію атакуючих про те, що операція була відповідальним розкриттям.

Атакуючі Liquid Network не могли встановити свої умови

Амадор сказав, що дослідник безпеки повинен використовувати канали приватного розкриття, бажано через визначену програму винагороди за вразливості, замість того, щоб забирати активи та вести переговори про винагороду пізніше.

"Зберігайте долар з коштів користувачів, і це крадіжка, незалежно від намірів на початку. Шлях для дослідника - це приватне розкриття, бажано в межах чітко визначеної програми."

Розрізнення базується на авторизації, а не на заявленій мотивації дослідника. Згідно з поглядом Амадора, виявлення справжньої вразливості не дає комусь права переміщати активи користувачів, утримувати їх як заставу або вирішувати, яка компенсація належить.

Blockstream зайняв подібну позицію у своїй відповіді 11 вересня. Як раніше повідомлялося crypto.news, компанія заявила, що взяття активів без дозволу та відмова їх повернути є крадіжкою, а не роботою білих капелюхів.

Компанія зазначила, що її попередні обговорення з акторами були спрямовані на відновлення коштів користувачів і захист Bitcoin-спільноти. Згідно з Blockstream, участь у цих переговорах не означало, що вона прийняла або вилучення, або пізнішу вимогу про винагороду.

Технічний огляд експлуатації виявив, що зіткнення кеш-ключів у логіці перевірки конфіденційних транзакцій дозволило акторам створити непідтримувані L-BTC. Вони потім використали сервіс SideSwap для отримання реального Bitcoin з резерву федерації.

Ключі федерації не були скомпрометовані, згідно з Blockstream. Інцидент натомість стосувався логіки перевірки в кодовій базі Elements, тоді як вузли федерації працювали на версії, яка не містила відповідного виправлення.

Умови порятунку повинні існувати до експлуатації

Замість того, щоб вести переговори під тиском після переміщення коштів, Амадор сказав, що серйозні протоколи повинні визначити свої умови порятунку до того, як виникне надзвичайна ситуація.

"Так, умови порятунку повинні існувати до експлуатації," - сказав він. "Усі серйозні протоколи повинні встановити їх заздалегідь."

Заздалегідь визначені правила можуть визначити, які системи дослідники можуть тестувати, як вони повинні розкривати вразливість і які дії вони можуть вжити під час активного інциденту. Вони також можуть вказати максимальну винагороду, умови оплати та юридичні захисти, доступні для дослідників, які залишаються в межах затвердженого обсягу.

Immunefi розробила рамки Whitehat Safe Harbor, щоб встановити такі умови до того, як протокол зіткнеться з атакою. Амадор, який допоміг сформувати ці рамки та брав участь у командах реагування на експлойти, порівняв екстрені дії з порятунком будинку від пожежі: потреба в допомозі не дозволяє використовувати всі можливі методи порятунку.

Попередні угоди також надають командам протоколів основу для розрізнення затверджених втручань від примусу. Без попередніх умов, актор, який контролює кошти користувачів, може вимагати оплату, поки проект зазнає збитків, перебоїв у обслуговуванні та тиску з боку тримачів токенів.

Актори Liquid спочатку спілкувалися через повідомлення, розміщені в транзакціях Bitcoin, і сказали Blockstream виправити недолік, перш ніж повернути кошти. Після того, як Blockstream підтвердив, що уражені вузли мосту були виправлені, група повернула 3,400 BTC до федеративного гаманця.

Жодна публічно розкрита угода не дозволяла групі зберігати залишок у 598.5 BTC. Ця сума також перевищує 10% приблизно 4,000 BTC, які були залучені, хоча повідомлене вимога зосереджувалася на 10% винагороди.

Відмовляючи спробі акторів Liquid нав'язати свої умови, Амадор захистив неформальну практику криптоіндустрії пропонувати до 10% ризикованих коштів як винагороду для whitehat.

Без спільної точки відліку, сказав він, кожне врегулювання потрібно буде обговорювати з самого початку, надаючи зловмиснику більше важелів під час активного інциденту. Визначений відсоток надає дослідникам законний шлях до оплати, дозволяючи протоколу відновити більшість вразливих активів.

"Десять відсотків від експлойту на 100 мільйонів доларів - це 10 мільйонів, зароблених законно, без того, щоб хтось вас полював після цього," - сказав Амадор. "Альтернатива для них - переміщення дев'яти цифр в ончейн, поки кожна криміналістична фірма спостерігає."

Цифра 10% з'явилася в кількох пропозиціях щодо відшкодування, але проекти зазвичай самі вказують умови. У серпні прихильники BTCPay Server підтримали винагороду, що дорівнює 10% від відновлених коштів після того, як зловмисники отримали облікові дані адміністратора LND macaroon. Запропонована виплата була обмежена 3 BTC, якщо всі вкрадені активи будуть повернуті.

Протокол Cetus дотримувався іншої формули після свого експлойту в травні 2025 року. Недолік у його логіці автоматизованого маркет-мейкера призвів до збитків понад 223 мільйони доларів, тоді як Фонд Sui координував з валідаторами заморожування приблизно 163 мільйонів доларів. Cetus пізніше оголосив про винагороду в 5 мільйонів доларів за інформацію, що призвела до ідентифікації зловмисника, згідно з його оглядом після експлойту.

Амадор сказав, що винагорода повинна загалом досягати до 10% ризикованих коштів, залишаючись під контролем протоколу. Встановлення суми занадто низькою може зробити крадіжку більш привабливою, ніж розкриття, сказав він, тоді як надмірна виплата може залишити врятований проект без можливості продовжувати роботу.

"Оціни це занадто високо, і виплата може вбити протокол, який ти щойно врятував, що не допомагає нікому," - сказав він.

Проекти все ще можуть платити понад свою заявлену межу, коли звіт виправдовує більшу винагороду, додав Амадор. Згідно з його запропонованою моделлю, протокол зберігає контроль над цим рішенням, замість того, щоб дозволяти досліднику встановлювати плату після взяття під контроль активів користувачів.

Угоди США показують ризик несанкціонованих експлойтів

Для дослідників, що базуються в США, повернення коштів або пропозиція про переговори не обов'язково запобігає кримінальним звинуваченням, коли первісний доступ був несанкціонованим.

У грудні 2023 року колишній інженер безпеки Шакіб Ахмед визнав себе винним у комп'ютерному шахрайстві після експлуатації двох децентралізованих бірж і отримання понад 12 мільйонів доларів. За даними Міністерства юстиції США, Ахмед вів переговори з однією платформою і запропонував повернути вкрадені кошти, за винятком 1.5 мільйона доларів, якщо біржа погодиться не звертатися до правоохоронних органів.

Федеральні прокурори повідомили, що Ахмед пізніше погодився на конфіскацію понад 12,3 мільйона доларів, включаючи близько 5,6 мільйона доларів у шахрайськи отриманій криптовалюті. У квітні 2024 року федеральний суддя засудив його до трьох років позбавлення волі та наказав конфіскувати вкрадені активи.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.