Генеральний директор Immunefi Мітчелл Амадор заявив, що зловмисники, які атакували Liquid Network, втратили будь-яке право називатися white hat після того, як, повернувши 3 400 BTC із приблизно 4 000 BTC, отриманих внаслідок експлойту, залишили собі 598,5 BTC.
Засновник і CEO Immunefi Мітчелл Амадор заявив crypto.news, що переміщення активів користувачів без дозволу не може вважатися «порятунком», якщо дослідник згодом залишає собі частину коштів або сам визначає умови оплати.
«Скоординоване розкриття закінчується в ту мить, коли ви самі встановлюєте умови», — сказав Амадор. «Гроші ніколи не були вашими, щоб їх рятувати, тому їх переміщення — це не порятунок».
Його коментарі стосуються суперечки, що залишилася після інциденту з Liquid Network, під час якого невстановлені учасники вивели приблизно 4 000 BTC, що на той момент оцінювалися приблизно у $320 млн, а потім назвали себе white hat-хакерами. Вони повернули 3 400 BTC після того, як Blockstream виправила вразливі вузли мосту, але залишили собі 598,5 BTC.
Blockstream відхилила вимогу групи про 10% винагороду та заявила, що не платитиме за повернення решти біткоїнів. Компанія також відкинула твердження зловмисників про те, що їхня операція була відповідальним розкриттям.
Амадор заявив, що дослідник безпеки повинен використовувати приватні канали розкриття, бажано в межах визначеної програми bug bounty, замість того щоб забирати активи, а потім вести переговори про винагороду.
«Залиште собі бодай один долар із коштів користувачів — і це крадіжка, якими б не були початкові наміри. Шлях для дослідника — це приватне розкриття, в ідеалі в межах чітко визначеної програми».
Різниця полягає в наявності дозволу, а не в заявлених мотивах дослідника. На думку Амадора, виявлення реальної вразливості не дає нікому права переміщувати активи користувачів, утримувати їх як заставу чи вирішувати, яка компенсація належить.
Blockstream зайняла подібну позицію у своїй відповіді від 11 вересня. Як раніше повідомляв crypto.news, компанія заявила, що вилучення активів без дозволу та відмова їх повернути є крадіжкою, а не діяльністю white hat.
Компанія повідомила, що її попередні переговори з цими учасниками були спрямовані на повернення коштів користувачів і захист біткоїн-спільноти. За словами Blockstream, участь у цих перемовинах не означала, що вона погодилася ані з самим виведенням коштів, ані з подальшою вимогою про винагороду.
Технічний аналіз експлойту показав, що колізія ключа кешу в логіці верифікації конфіденційних транзакцій дозволила зловмисникам створити незабезпечені L-BTC. Після цього вони скористалися сервісом peg-out від SideSwap, щоб отримати справжні біткоїни з резерву федерації.
Ключі федерації не були скомпрометовані, стверджує Blockstream. Натомість інцидент був пов’язаний із логікою верифікації в кодовій базі Elements, тоді як вузли федерації працювали на релізі, який не містив відповідного виправлення.
Замість того щоб вести переговори під тиском після переміщення коштів, серйозні протоколи, за словами Амадора, повинні визначати умови «порятунку» ще до виникнення надзвичайної ситуації.
«Так, умови “порятунку” мають існувати до експлойту», — сказав він. «Усі серйозні протоколи повинні встановлювати це заздалегідь».
Попередньо визначені правила можуть встановлювати, які системи дослідники можуть тестувати, як саме вони мають розкривати вразливість і які дії можуть вчиняти під час активного інциденту. Вони також можуть визначати максимальну винагороду, умови виплати та правовий захист, доступний дослідникам, які діють у межах погодженого периметра.
Immunefi розробила фреймворк Whitehat Safe Harbor, щоб встановлювати такі умови ще до того, як протокол зіткнеться з атакою. Амадор, який допомагав формувати цей фреймворк і брав участь у командах оперативного реагування на експлойти, порівняв екстрені дії з порятунком будинку від пожежі: потреба в допомозі не дає дозволу на будь-який можливий спосіб «порятунку».
Попередні домовленості також дають командам протоколів підстави відрізняти схвалене втручання від примусу. Без заздалегідь визначених умов той, хто контролює кошти користувачів, може вимагати оплату, поки проєкт зазнає збитків, збоїв у роботі та тиску з боку власників токенів.
Учасники атаки на Liquid спочатку спілкувалися через повідомлення, розміщені в біткоїн-транзакціях, і наказали Blockstream виправити вразливість, перш ніж вони повернуть кошти. Після того як Blockstream підтвердила, що уражені вузли мосту були виправлені, група повернула 3 400 BTC на гаманець федерації.
Жодна публічно розкрита угода не дозволяла групі залишити собі решту 598,5 BTC. Ця сума також перевищує 10% від приблизно 4 000 BTC, про які йдеться, хоча, за повідомленнями, вимога стосувалася саме 10% винагороди.
Відкидаючи спробу учасників атаки на Liquid нав’язати власні умови, Амадор водночас захистив неформальну практику криптоіндустрії пропонувати до 10% коштів під ризиком як white hat-винагороду.
Без спільної точки відліку, за його словами, кожне врегулювання довелося б узгоджувати з нуля, що дало б атакувальнику більше важелів впливу під час активного інциденту. Визначений відсоток дає дослідникам законний шлях отримання оплати, водночас дозволяючи протоколу повернути більшу частину скомпрометованих активів.
«Десять відсотків від експлойту на $100 млн — це $10 млн, зароблені легально, і після цього за вами ніхто не полюватиме», — сказав Амадор. «Альтернатива для них — переміщати дев’ятизначні суми ончейн, поки за цим стежить кожна форензик-компанія».
Показник у 10% з’являвся в кількох пропозиціях щодо повернення коштів, але зазвичай саме проєкти формулюють ці умови. У серпні прихильники BTCPay Server підтримали винагороду в розмірі 10% від повернених коштів після того, як зловмисники отримали облікові дані admin macaroon LND. Запропонована виплата обмежувалася 3 BTC у разі повернення всіх викрадених активів.
Cetus Protocol після експлойту в травні 2025 року застосував іншу формулу. Вразливість у логіці його automated market maker спричинила збитки на понад $223 млн, тоді як Sui Foundation координувала дії з валідаторами, щоб заморозити близько $163 млн. Згодом Cetus оголосив винагороду $5 млн за інформацію, яка допоможе встановити особу атакувальника, згідно з його оглядом після експлойту.
Амадор заявив, що винагорода загалом має сягати до 10% коштів під ризиком, але водночас підпорядковуватися верхній межі, яку протокол може собі дозволити. Якщо встановити суму надто низькою, крадіжка може стати привабливішою за розкриття, сказав він, тоді як надмірна виплата може залишити врятований проєкт нездатним продовжувати роботу.
«Якщо поставити ціну надто високо, сама виплата може вбити протокол, який ви щойно врятували, а це нікому не допоможе», — сказав він.
Проєкти все одно можуть виплачувати більше за встановлений ліміт, якщо звіт виправдовує більшу винагороду, додав Амадор. За запропонованою ним моделлю, контроль над цим рішенням зберігає протокол, замість того щоб дозволяти досліднику встановлювати розмір винагороди після того, як він уже взяв під контроль активи користувачів.
Для дослідників, які працюють у США, повернення коштів або пропозиція переговорів не обов’язково убезпечує від кримінальних обвинувачень, якщо початковий доступ був несанкціонованим.
У грудні 2023 року колишній інженер із безпеки Шакіб Ахмед визнав себе винним у комп’ютерному шахрайстві після експлуатації двох децентралізованих бірж і отримання понад $12 млн. За даними Міністерства юстиції США, Ахмед вів переговори з однією платформою та запропонував повернути викрадені кошти, за винятком $1,5 млн, якщо біржа погодиться не звертатися до правоохоронців.
Федеральні прокурори заявили, що пізніше Ахмед погодився на конфіскацію понад $12,3 млн, включно з приблизно $5,6 млн у шахрайськи отриманій криптовалюті. У квітні 2024 року федеральний суддя засудив його до трьох років ув’язнення та постановив конфіскувати викрадені активи.
BTC