Атакующие Liquid Network потеряли статус "белых шляп": CEO Immunefi

Генеральный директор Immunefi Митчелл Амадор заявил, что атакующие Liquid Network утратили любые претензии на статус "белых шляп", сохранив 598,5 BTC после возврата 3 400 BTC из примерно 4 000 BTC, полученных в результате эксплуатации.

• Примерно 598,5 BTC остается у атакующих после возврата 3 400 BTC.
• Амадор сказал, что координированное раскрытие заканчивается, когда исследователь устанавливает условия спасения без предварительного одобрения.
• Протоколы должны установить правила спасения и лимиты вознаграждений до того, как произойдет эксплуатация.
• Генеральный директор Immunefi защитил практику 10% вознаграждения, когда команды одобряют это заранее.

Основатель и генеральный директор Immunefi Митчелл Амадор сообщил crypto.news, что перемещение активов пользователей без разрешения не может считаться спасением, если исследователь позже удерживает часть средств или устанавливает условия оплаты.

"Координированное раскрытие заканчивается в тот момент, когда вы устанавливаете условия сами," - сказал Амадор. "Деньги никогда не были вашими для спасения, поэтому их перемещение не является спасением."

Его комментарии касаются спора, оставшегося после инцидента с Liquid Network, в котором неустановленные лица вывели примерно 4 000 BTC, стоимостью около 320 миллионов долларов на тот момент, прежде чем назвать себя "белыми шляпами". Они вернули 3 400 BTC после того, как Blockstream исправила затронутые узлы моста, но сохранили 598,5 BTC.

Blockstream отклонила требование группы о 10% вознаграждении и заявила, что не будет платить за возврат оставшихся биткойнов. Компания также отвергла утверждение атакующих о том, что операция была ответственной раскрытием.

Атакующие Liquid Network не могли устанавливать свои условия

Амадор сказал, что исследователь безопасности должен использовать каналы частного раскрытия, предпочтительно через определенную программу вознаграждений за ошибки, вместо того чтобы забирать активы и вести переговоры о вознаграждении позже.

"Сохраните доллар пользовательских средств, и это кража, независимо от намерений в начале. Путь для исследователя - это частное раскрытие, желательно в рамках хорошо определенной программы."

Различие основывается на авторизации, а не на заявленной мотивации исследователя. По мнению Амадора, нахождение реальной уязвимости не дает кому-либо права перемещать активы пользователей, удерживать их в качестве залога или решать, какое вознаграждение должно быть выплачено.

Blockstream заняла аналогичную позицию в своем ответе от 11 сентября. Как ранее сообщалось crypto.news, компания заявила, что забирать активы без разрешения и отказываться их возвращать является кражей, а не работой "белых шляп".

Компания заявила, что ее предыдущие обсуждения с актерами были направлены на восстановление средств пользователей и защиту сообщества биткойнов. Согласно Blockstream, участие в этих переговорах не означало, что она приняла как вывод средств, так и последующее требование о вознаграждении.

Технический обзор эксплуатации показал, что коллизия кэш-ключа в логике проверки конфиденциальных транзакций позволила актерам создать необеспеченные L-BTC. Затем они использовали сервис SideSwap для получения реального биткойна из резервов федерации.

Ключи федерации не были скомпрометированы, согласно Blockstream. Инцидент касался логики проверки в кодовой базе Elements, в то время как узлы федерации работали на версии, которая не содержала соответствующего исправления.

Условия спасения должны существовать до эксплуатации

Вместо того чтобы вести переговоры под давлением после перемещения средств, Амадор сказал, что серьезные протоколы должны определить свои условия спасения до того, как произойдет чрезвычайная ситуация.

"Да, условия спасения должны существовать до эксплуатации," - сказал он. "Все серьезные протоколы должны установить их заранее."

Предварительно определенные правила могут определить, какие системы исследователи могут тестировать, как они должны раскрывать уязвимость и какие действия они могут предпринять во время активного инцидента. Они также могут указать максимальное вознаграждение, условия оплаты и юридические защиты, доступные исследователям, которые остаются в рамках одобренного объема.

Иммунефи разработал рамки Whitehat Safe Harbor, чтобы установить такие условия до того, как протокол столкнется с атакой. Амадор, который помог сформировать эти рамки и участвовал в командах по реагированию на реальные эксплойты, сравнил экстренные действия с спасением дома от пожара: необходимость в помощи не дает права использовать любые возможные методы спасения.

Предварительные соглашения также дают командам протоколов основу для различения одобренного вмешательства и принуждения. Без предварительных условий актер, контролирующий средства пользователей, может требовать оплату, пока проект сталкивается с убытками, сбоями в обслуживании и давлением со стороны держателей токенов.

Актеры Liquid изначально общались через сообщения, размещенные в транзакциях Bitcoin, и сказали Blockstream исправить уязвимость, прежде чем вернуть средства. После того как Blockstream подтвердил, что затронутые узлы моста были исправлены, группа вернула 3,400 BTC в федеративный кошелек.

Никакое публично раскрытое соглашение не позволяло группе сохранить оставшиеся 598.5 BTC. Эта сумма также превышает 10% от примерно 4,000 BTC, вовлеченных в дело, хотя сообщаемое требование сосредоточилось на вознаграждении в 10%.

Отказываясь от попытки актеров Liquid навязать свои условия, Амадор защитил неформальную практику криптоиндустрии, предлагающую до 10% от рискующих средств в качестве вознаграждения для белых шляп.

Без общей отправной точки, сказал он, каждое соглашение придется обсуждать с нуля, что даст атакующему больше рычагов во время активного инцидента. Определенный процент дает исследователям законный путь к оплате, позволяя протоколу вернуть большую часть подверженных активов.

"Десять процентов от взлома на 100 миллионов долларов — это 10 миллионов долларов, заработанных законно, и никто не будет вас преследовать после этого," — сказал Амадор. "Альтернатива для них — перемещение девяти цифр в цепочке, пока каждая судебно-экспертная фирма наблюдает."

Цифра 10% появилась в нескольких предложениях по восстановлению, но проекты обычно сами устанавливают условия. В августе сторонники BTCPay Server поддержали вознаграждение, равное 10% от восстановленных средств, после того как злоумышленники получили учетные данные администратора LND. Предложенная выплата была ограничена 3 BTC, если все украденные активы будут возвращены.

Протокол Cetus следовал другой формуле после своего взлома в мае 2025 года. Уязвимость в логике его автоматизированного маркет-мейкера привела к потерям более 223 миллионов долларов, в то время как Фонд Sui координировал с валидаторами заморозку около 163 миллионов долларов. Позже Cetus объявил о вознаграждении в 5 миллионов долларов за информацию, ведущую к идентификации злоумышленника, согласно его обзору после взлома.

Амадор сказал, что вознаграждение должно в целом достигать до 10% от рискующих средств, оставаясь при этом в пределах предела, который протокол может себе позволить. Установка суммы слишком низкой может сделать кражу более привлекательной, чем раскрытие, сказал он, в то время как чрезмерная выплата может оставить спасенный проект неспособным продолжать работу.

"Установите цену слишком высокой, и выплата может убить протокол, который вы только что спасли, что никому не поможет," — сказал он.

Проекты все еще могут платить выше установленного предела, когда отчет оправдывает более крупное вознаграждение, добавил Амадор. В рамках его предложенной модели протокол сохраняет контроль над этим решением, вместо того чтобы позволять исследователю устанавливать плату после принятия под контроль активов пользователей.

Уголовные преследования в США показывают риск несанкционированных эксплойтов

Для исследователей из США возврат средств или предложение о переговорах не обязательно предотвращает уголовные обвинения, когда первоначальный доступ был несанкционированным.

В декабре 2023 года бывший инженер по безопасности Шакеб Ахмед признал себя виновным в компьютерном мошенничестве после эксплуатации двух децентрализованных бирж и получения более 12 миллионов долларов. Согласно данным Министерства юстиции США, Ахмед вел переговоры с одной платформой и предложил вернуть украденные средства, кроме 1.5 миллиона долларов, если биржа согласится не связываться с правоохранительными органами.

Федеральные прокуроры сообщили, что Ахмед позже согласился на конфискацию более 12,3 миллиона долларов, включая около 5,6 миллиона долларов в мошеннически полученной криптовалюте. В апреле 2024 года федеральный судья приговорил его к трем годам тюремного заключения и распорядился о конфискации украденных активов.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.