Immunefi के CEO मिशेल अमाडोर ने कहा है कि लगभग 4,000 BTC के एक्सप्लॉइट में से 3,400 BTC लौटाने के बाद 598.5 BTC अपने पास रखकर Liquid Network के हमलावरों ने व्हाइट-हैट होने का कोई भी दावा खो दिया.

Immunefi के संस्थापक और CEO मिशेल अमाडोर ने crypto.news से कहा कि बिना अनुमति यूजर एसेट्स को स्थानांतरित करना रेस्क्यू नहीं माना जा सकता, यदि शोधकर्ता बाद में फंड्स का कुछ हिस्सा अपने पास रख ले या भुगतान की शर्तें तय करे.

अमाडोर ने कहा, “जिस क्षण आप शर्तें खुद तय करते हैं, coordinated disclosure वहीं खत्म हो जाती है. यह पैसा कभी आपका था ही नहीं कि आप उसे बचाते, इसलिए उसे स्थानांतरित करना रेस्क्यू नहीं है.”

उनकी टिप्पणियां Liquid Network घटना के बाद बचे विवाद पर केंद्रित हैं, जिसमें अज्ञात एक्टर्स ने खुद को व्हाइटहैट बताने से पहले लगभग 4,000 BTC निकाल लिए थे, जिनकी उस समय कीमत करीब $320 मिलियन थी. Blockstream द्वारा प्रभावित ब्रिज नोड्स को पैच करने के बाद उन्होंने 3,400 BTC वापस कर दिए, लेकिन 598.5 BTC अपने पास रखे.

Blockstream ने समूह की 10% बाउंटी की मांग खारिज कर दी है और कहा है कि वह शेष Bitcoin की वापसी के लिए भुगतान नहीं करेगी. कंपनी ने हमलावरों के इस दावे को भी खारिज किया कि यह ऑपरेशन responsible disclosure था.

Liquid Network के हमलावर अपनी शर्तें खुद तय नहीं कर सकते थे

अमाडोर ने कहा कि किसी सुरक्षा शोधकर्ता को एसेट्स लेकर बाद में इनाम पर बातचीत करने के बजाय private disclosure channels का उपयोग करना चाहिए, और बेहतर होगा कि यह किसी परिभाषित bug bounty program के माध्यम से हो.

“यूजर फंड्स में से एक डॉलर भी अपने पास रखते हैं, तो वह चोरी है, चाहे शुरुआत में मंशा कुछ भी रही हो. शोधकर्ता के लिए सही रास्ता private disclosure है, आदर्श रूप से एक स्पष्ट रूप से परिभाषित प्रोग्राम के भीतर.”

यह अंतर शोधकर्ता की घोषित मंशा पर नहीं, बल्कि authorization पर आधारित है. अमाडोर के अनुसार, किसी वास्तविक vulnerability को खोज लेना किसी को यूजर एसेट्स स्थानांतरित करने, उन्हें collateral के रूप में रोककर रखने, या यह तय करने का अधिकार नहीं देता कि कितना मुआवजा देय है.

Blockstream ने 11 सितंबर की अपनी प्रतिक्रिया में इसी तरह का रुख अपनाया. जैसा कि crypto.news ने पहले रिपोर्ट किया था, कंपनी ने कहा कि बिना अनुमति एसेट्स लेना और उन्हें लौटाने से इनकार करना व्हाइटहैट कार्य नहीं, बल्कि चोरी है.

कंपनी ने कहा कि एक्टर्स के साथ उसकी पहले की बातचीत का उद्देश्य यूजर फंड्स की रिकवरी और Bitcoin समुदाय की सुरक्षा था. Blockstream के अनुसार, उन बातचीतों में शामिल होने का अर्थ यह नहीं था कि उसने न तो निकासी को और न ही बाद की बाउंटी मांग को स्वीकार किया था.

एक्सप्लॉइट की तकनीकी समीक्षा में पाया गया कि confidential transaction verification logic में cache-key collision ने एक्टर्स को unbacked L-BTC बनाने की अनुमति दी. इसके बाद उन्होंने federation reserve से वास्तविक Bitcoin प्राप्त करने के लिए SideSwap की peg-out सेवा का उपयोग किया.

Blockstream के अनुसार federation keys से समझौता नहीं किया गया था. इसके बजाय यह घटना Elements codebase की verification logic से जुड़ी थी, जबकि federation nodes ऐसा release चला रहे थे जिसमें संबंधित fix शामिल नहीं था.

एक्सप्लॉइट से पहले ही रेस्क्यू की शर्तें मौजूद होनी चाहिए

अमाडोर ने कहा कि फंड्स स्थानांतरित होने के बाद दबाव में बातचीत करने के बजाय, गंभीर प्रोटोकॉल्स को आपात स्थिति आने से पहले ही अपनी रेस्क्यू शर्तें तय कर लेनी चाहिए.

उन्होंने कहा, “हाँ, एक्सप्लॉइट से पहले ही रेस्क्यू की शर्तें मौजूद होनी चाहिए. सभी गंभीर प्रोटोकॉल्स को इन्हें पहले से निर्धारित करना चाहिए.”

पूर्वनिर्धारित नियम यह तय कर सकते हैं कि शोधकर्ता किन सिस्टम्स का परीक्षण कर सकते हैं, vulnerability का खुलासा कैसे करना होगा, और सक्रिय घटना के दौरान वे कौन-कौन से कदम उठा सकते हैं. ये अधिकतम बाउंटी, भुगतान की शर्तें, और उन शोधकर्ताओं के लिए उपलब्ध कानूनी सुरक्षा भी निर्दिष्ट कर सकते हैं जो स्वीकृत दायरे के भीतर रहते हैं.

Immunefi ने Whitehat Safe Harbor framework विकसित किया ताकि किसी प्रोटोकॉल पर हमला होने से पहले ऐसी शर्तें स्थापित की जा सकें. अमाडोर, जिन्होंने इस framework के निर्माण में योगदान दिया और लाइव exploit response teams में भी भाग लिया है, ने आपात कार्रवाई की तुलना घर को आग से बचाने से की: मदद की जरूरत होने का मतलब यह नहीं है कि हर संभव रेस्क्यू तरीका अधिकृत हो जाता है.

पूर्व सहमतियां प्रोटोकॉल टीमों को अनुमोदित हस्तक्षेप और दबावपूर्ण वसूली में अंतर करने का आधार भी देती हैं. पूर्व शर्तों के बिना, यूजर फंड्स पर नियंत्रण रखने वाला कोई भी actor भुगतान की मांग कर सकता है, जबकि प्रोजेक्ट नुकसान, सेवा व्यवधान और टोकन होल्डर्स के दबाव का सामना कर रहा हो.

Liquid के एक्टर्स ने शुरुआत में Bitcoin transactions में डाले गए संदेशों के माध्यम से संवाद किया और Blockstream से कहा कि फंड्स लौटाने से पहले वह flaw को पैच करे. Blockstream द्वारा यह पुष्टि किए जाने के बाद कि प्रभावित bridge nodes पैच कर दिए गए हैं, समूह ने 3,400 BTC federation wallet में वापस भेज दिए.

सार्वजनिक रूप से खुलासा किए गए किसी भी समझौते ने समूह को शेष 598.5 BTC अपने पास रखने की अनुमति नहीं दी थी. यह राशि लगभग 4,000 BTC के कुल मामले के 10% से भी अधिक है, हालांकि रिपोर्ट की गई मांग 10% इनाम पर केंद्रित थी.

10% क्रिप्टो बाउंटी प्रथा की अब भी भूमिका है

Liquid एक्टर्स द्वारा अपनी शर्तें थोपने के प्रयास को खारिज करते हुए भी, अमाडोर ने क्रिप्टो उद्योग की उस अनौपचारिक प्रथा का बचाव किया जिसमें जोखिमग्रस्त फंड्स का 10% तक व्हाइटहैट बाउंटी के रूप में ऑफर किया जाता है.

उन्होंने कहा कि किसी साझा संदर्भ बिंदु के बिना, हर सेटलमेंट पर शुरुआत से बातचीत करनी पड़ेगी, जिससे सक्रिय घटना के दौरान हमलावर को अधिक leverage मिल जाएगा. एक परिभाषित प्रतिशत शोधकर्ताओं को वैध भुगतान का रास्ता देता है, जबकि प्रोटोकॉल को अधिकांश एक्सपोज्ड एसेट्स वापस पाने की अनुमति देता है.

अमाडोर ने कहा, “$100M के एक्सप्लॉइट का 10% यानी $10M वैध रूप से कमाया गया पैसा है, और उसके बाद कोई आपका पीछा नहीं करेगा. उनके लिए दूसरा विकल्प यह है कि वे ऑनचेन नौ-अंकीय राशि मूव करें जबकि हर फॉरेंसिक फर्म नजर रख रही हो.”

10% का आंकड़ा कई रिकवरी ऑफर्स में दिखाई दिया है, लेकिन आमतौर पर शर्तें प्रोजेक्ट्स स्वयं तय करते हैं. अगस्त में, BTCPay Server समर्थकों ने उस इनाम का समर्थन किया जो रिकवर किए गए फंड्स के 10% के बराबर था, जब हमलावरों ने LND admin macaroon credentials हासिल कर लिए थे. यदि सभी चोरी किए गए एसेट्स लौटा दिए जाते, तो प्रस्तावित भुगतान 3 BTC पर सीमित था.

मई 2025 के अपने एक्सप्लॉइट के बाद Cetus Protocol ने अलग फॉर्मूला अपनाया. उसके automated market maker logic में एक flaw के कारण $223 मिलियन से अधिक का नुकसान हुआ, जबकि Sui Foundation ने validators के साथ समन्वय कर लगभग $163 मिलियन फ्रीज कराया. बाद में Cetus ने अपने post-exploit review के अनुसार हमलावर की पहचान में मदद करने वाली जानकारी के लिए $5 मिलियन के इनाम की घोषणा की.

अमाडोर ने कहा कि इनाम सामान्यतः जोखिमग्रस्त फंड्स के 10% तक होना चाहिए, लेकिन साथ ही वह उस सीमा के अधीन रहे जिसे प्रोटोकॉल वहन कर सके. उन्होंने कहा कि राशि बहुत कम तय करने पर disclosure की तुलना में चोरी अधिक आकर्षक हो सकती है, जबकि अत्यधिक भुगतान बचाए गए प्रोजेक्ट को आगे संचालन जारी रखने में असमर्थ बना सकता है.

उन्होंने कहा, “यदि इसकी कीमत बहुत अधिक रखी जाए, तो भुगतान ही उस प्रोटोकॉल को खत्म कर सकता है जिसे आपने अभी बचाया है, और इससे किसी का भला नहीं होता.”

अमाडोर ने जोड़ा कि यदि किसी रिपोर्ट के लिए बड़ा इनाम उचित हो, तो प्रोजेक्ट्स अपनी घोषित सीमा से अधिक भी भुगतान कर सकते हैं. उनके प्रस्तावित मॉडल के तहत, यह निर्णय प्रोटोकॉल के नियंत्रण में रहता है, बजाय इसके कि शोधकर्ता यूजर एसेट्स की कस्टडी लेने के बाद खुद फीस तय करे.

अमेरिकी अभियोजन अनधिकृत एक्सप्लॉइट्स के जोखिम को दिखाते हैं

अमेरिका-आधारित शोधकर्ताओं के लिए, फंड्स लौटाना या बातचीत की पेशकश करना जरूरी नहीं कि आपराधिक आरोपों से बचा ले, यदि मूल एक्सेस अनधिकृत था.

दिसंबर 2023 में, पूर्व सुरक्षा इंजीनियर शकीब अहमद ने दो decentralized exchanges का एक्सप्लॉइट कर $12 मिलियन से अधिक हासिल करने के बाद computer fraud का दोष स्वीकार किया. अमेरिकी न्याय विभाग के अनुसार, अहमद ने एक प्लेटफॉर्म से बातचीत की और प्रस्ताव दिया कि यदि एक्सचेंज law enforcement से संपर्क न करे, तो वह $1.5 मिलियन छोड़कर बाकी चोरी किए गए फंड्स लौटा देगा.

संघीय अभियोजकों ने कहा कि बाद में अहमद ने $12.3 मिलियन से अधिक की जब्ती पर सहमति दी, जिसमें लगभग $5.6 मिलियन की धोखाधड़ी से प्राप्त क्रिप्टोकरेंसी शामिल थी. अप्रैल 2024 में, एक संघीय न्यायाधीश ने उसे तीन वर्ष की जेल की सजा सुनाई और चोरी किए गए एसेट्स की जब्ती का आदेश दिया.