Sinabi ni Immunefi CEO Mitchell Amador na nawalan ng anumang batayan ang mga umatake sa Liquid Network para maituring na white hat matapos nilang itabi ang 598.5 BTC kasunod ng pagbabalik ng 3,400 BTC mula sa humigit-kumulang 4,000 BTC na na-exploit.
Sinabi ni Immunefi founder at CEO Mitchell Amador sa crypto.news na ang paglipat ng mga asset ng user nang walang pahintulot ay hindi maituturing na rescue kapag ang researcher ay kalaunang nagtatago ng bahagi ng pondo o siya ang nagtatakda ng mga kondisyon ng bayad.
“Nagtatapos ang coordinated disclosure sa mismong sandaling ikaw ang magtakda ng mga termino,” sabi ni Amador. “Hindi kailanman sa iyo ang perang iyon para iligtas, kaya ang paggalaw nito ay hindi rescue.”
Tinutugunan ng kanyang mga pahayag ang alitang iniwan ng insidente sa Liquid Network, kung saan ang mga hindi nakilalang aktor ay nag-withdraw ng humigit-kumulang 4,000 BTC, na noon ay nagkakahalaga ng humigit-kumulang $320 milyon, bago nila inilalarawan ang kanilang sarili bilang mga whitehat. Ibinalik nila ang 3,400 BTC matapos ma-patch ng Blockstream ang mga apektadong bridge node ngunit itinago ang 598.5 BTC.
Tinanggihan ng Blockstream ang hiling ng grupo para sa 10% bounty at sinabi nitong hindi ito magbabayad para sa pagbabalik ng natitirang Bitcoin. Tinanggihan din ng kumpanya ang pahayag ng mga attacker na ang operasyon ay maituturing na responsible disclosure.
Sinabi ni Amador na ang isang security researcher ay dapat gumamit ng mga pribadong disclosure channel, mas mainam sa pamamagitan ng isang malinaw na bug bounty program, sa halip na kumuha ng mga asset at saka makipag-usap ukol sa reward pagkatapos.
“Magtira ka man lang ng isang dolyar mula sa pondo ng user, pagnanakaw na iyon, anuman ang layunin sa simula. Ang tamang landas para sa isang researcher ay private disclosure, mainam sa loob ng isang malinaw na programa.”
Nakasalalay ang pagkakaibang ito sa awtorisasyon, hindi sa ipinapahayag na motibo ng researcher. Sa pananaw ni Amador, ang pagtuklas ng totoong kahinaan ay hindi nagbibigay sa isang tao ng karapatang ilipat ang mga asset ng user, hawakan ang mga ito bilang collateral, o magpasya kung anong kompensasyon ang nararapat.
Kaparehong posisyon ang kinuha ng Blockstream sa tugon nito noong Set. 11. Gaya ng naunang iniulat ng crypto.news, sinabi ng kumpanya na ang pagkuha ng mga asset nang walang pahintulot at ang pagtangging ibalik ang mga ito ay bumubuo ng pagnanakaw, hindi whitehat na gawain.
Sinabi ng kumpanya na ang mga naunang talakayan nito sa mga aktor ay nilayon upang mabawi ang mga pondo ng user at maprotektahan ang komunidad ng Bitcoin. Ayon sa Blockstream, ang pakikilahok sa mga usapang iyon ay hindi nangangahulugang tinanggap nito ang alinman sa withdrawal o ang kasunod na bounty demand.
Nakita sa isang teknikal na pagsusuri ng exploit na ang isang cache-key collision sa confidential transaction verification logic ang nagbigay-daan sa mga aktor na lumikha ng unbacked L-BTC. Pagkatapos, ginamit nila ang peg-out service ng SideSwap upang makakuha ng tunay na Bitcoin mula sa federation reserve.
Hindi nakompromiso ang mga federation key, ayon sa Blockstream. Sa halip, ang insidente ay may kinalaman sa verification logic sa Elements codebase, habang ang mga federation node ay nagpapatakbo ng isang release na walang kaugnay na fix.
Sa halip na makipagnegosasyon sa ilalim ng presyon matapos mailipat na ang mga pondo, sinabi ni Amador na ang mga seryosong protocol ay dapat magpasya sa kanilang rescue conditions bago pa mangyari ang isang emergency.
“Oo, dapat umiiral na ang rescue terms bago pa ang isang exploit,” aniya. “Dapat itakda ito nang maaga ng lahat ng seryosong protocol.”
Maaaring tukuyin ng mga paunang itinakdang patakaran kung aling mga system ang maaaring subukan ng mga researcher, paano nila dapat i-disclose ang isang vulnerability, at anong mga aksyon ang maaari nilang gawin sa panahon ng isang aktibong insidente. Maaari rin nitong ilahad ang maximum bounty, mga kondisyon ng bayad, at mga legal na proteksyong available sa mga researcher na nananatili sa loob ng aprubadong saklaw.
Binuo ng Immunefi ang Whitehat Safe Harbor framework upang maitatag ang ganitong mga kondisyon bago pa humarap ang isang protocol sa isang pag-atake. Si Amador, na tumulong sa paghubog ng framework at nakilahok sa mga live exploit response team, ay inihambing ang aksyon sa emergency sa pagsagip ng bahay mula sa sunog: ang pangangailangan ng tulong ay hindi nagbibigay-awtorisasyon sa bawat posibleng paraan ng pagsagip.
Ang mga advance agreement ay nagbibigay rin sa mga protocol team ng batayan upang maiba ang aprubadong interbensyon mula sa pamimilit. Kung walang naunang mga termino, ang isang aktor na may kontrol sa mga pondo ng user ay maaaring humingi ng bayad habang ang proyekto ay nahaharap sa pagkalugi, pagkagambala sa serbisyo, at presyon mula sa mga token holder.
Ang mga aktor sa Liquid ay unang nakipag-ugnayan sa pamamagitan ng mga mensaheng inilagay sa mga transaksyon sa Bitcoin at sinabi sa Blockstream na i-patch ang flaw bago nila ibalik ang mga pondo. Matapos kumpirmahin ng Blockstream na na-patch na ang mga apektadong bridge node, ibinalik ng grupo ang 3,400 BTC sa federation wallet.
Walang pampublikong isiniwalat na kasunduan na nagpapahintulot sa grupo na panatilihin ang natitirang 598.5 BTC. Lumalampas din ang halagang ito sa 10% ng humigit-kumulang 4,000 BTC na sangkot, bagaman ang iniulat na demand ay nakasentro sa 10% na reward.
Habang tinatanggihan ang tangka ng mga aktor sa Liquid na ipataw ang sarili nilang mga termino, ipinagtanggol ni Amador ang impormal na praktika sa crypto industry na mag-alok ng hanggang 10% ng mga pondong nasa panganib bilang whitehat bounty.
Kung walang iisang common reference point, aniya, kailangang simulan sa umpisa ang negosasyon sa bawat settlement, na magbibigay sa attacker ng mas malaking leverage sa panahon ng aktibong insidente. Ang isang malinaw na porsyento ay nagbibigay sa mga researcher ng legal na ruta para sa bayad habang pinahihintulutan ang protocol na mabawi ang karamihan sa mga nalantad na asset.
“Ang sampung porsyento ng isang $100M exploit ay $10M na legal na kinita, nang walang hahabol sa iyo pagkatapos,” sabi ni Amador. “Ang alternatibo para sa kanila ay ang paggalaw ng siyam na digit na halaga onchain habang nakatutok ang bawat forensics firm.”
Ang 10% figure ay lumitaw na sa ilang recovery offer, ngunit karaniwang ang mga proyekto mismo ang nagtatakda ng mga termino. Noong Agosto, sinuportahan ng mga tagasuporta ng BTCPay Server ang isang reward na katumbas ng 10% ng mga nabawing pondo matapos makuha ng mga attacker ang LND admin macaroon credentials. Ang iminungkahing payout ay nilagyan ng cap na 3 BTC kung maibabalik ang lahat ng ninakaw na asset.
Sumunod ang Cetus Protocol sa ibang pormula matapos ang exploit nito noong Mayo 2025. Ang isang flaw sa automated market maker logic nito ay nagdulot ng pagkalugi na higit sa $223 milyon, habang nakipag-ugnayan ang Sui Foundation sa mga validator upang i-freeze ang humigit-kumulang $163 milyon. Kalaunan ay inanunsyo ng Cetus ang $5 milyong reward para sa impormasyong hahantong sa pagkakakilanlan ng attacker, ayon sa post-exploit review nito.
Sinabi ni Amador na ang reward ay dapat sa pangkalahatan ay umabot hanggang 10% ng mga pondong nasa panganib habang nananatiling saklaw ng cap na kayang tustusan ng protocol. Ang pagtatakda ng halaga nang masyadong mababa ay maaaring gawing mas kaakit-akit ang pagnanakaw kaysa disclosure, aniya, habang ang sobrang taas na payout ay maaaring mag-iwan sa nailigtas na proyekto na hindi na makapagpatuloy sa operasyon.
“Kapag masyado mo itong tinaasan, ang pagbabayad ay maaaring pumatay sa protocol na kakaligtas mo lang, na walang naitutulong kaninuman,” aniya.
Maaaring magbayad pa rin ang mga proyekto nang lampas sa kanilang nakasaad na cap kapag ang isang ulat ay nangangailangan ng mas malaking reward, dagdag ni Amador. Sa ilalim ng kanyang iminungkahing modelo, nananatili sa protocol ang kontrol sa pasyang iyon sa halip na payagan ang isang researcher na siya ang magtakda ng bayad matapos niyang makuha ang kustodiya ng mga asset ng user.
Para sa mga researcher na nakabase sa U.S., ang pagbabalik ng mga pondo o pag-aalok na makipagnegosasyon ay hindi kinakailangang makapigil sa pagsasampa ng kasong kriminal kapag ang orihinal na access ay walang awtorisasyon.
Noong Disyembre 2023, umamin ng guilty ang dating security engineer na si Shakeeb Ahmed sa computer fraud matapos i-exploit ang dalawang decentralized exchange at makakuha ng mahigit $12 milyon. Ayon sa U.S. Justice Department, nakipagnegosasyon si Ahmed sa isang platform at iminungkahing ibalik ang mga ninakaw na pondo maliban sa $1.5 milyon kung papayag ang exchange na huwag makipag-ugnayan sa law enforcement.
Sinabi ng mga federal prosecutor na kalaunan ay pumayag si Ahmed na isuko ang mahigit $12.3 milyon, kabilang ang humigit-kumulang $5.6 milyon sa cryptocurrency na nakuha sa pamamagitan ng pandaraya. Noong Abril 2024, hinatulan siya ng isang federal judge ng tatlong taong pagkakakulong at iniutos ang forfeiture ng mga ninakaw na asset.
BTC