Автор: Нэнси, PANews
В индустрии криптовалют снова прозвучал сигнал тревоги по безопасности.
Недавно в сайдчейне Bitcoin Liquid Network произошла аномальная передача около 4000 BTC. Команда проекта немедленно приостановила операции и начала публичные переговоры со злоумышленником через блокчейн. В итоге этот белый хакер вернул большую часть средств после того, как уязвимость проекта была устранена, оставив себе около 47 миллионов долларов в качестве награды.
Возможно, это стало самой дорогой операцией белого хакера в истории криптовалют, но также вызвало немало споров. Кто-то шутит, что на этот раз белый хакер получил не просто благодарственное письмо и худи; но другие сомневаются: сначала перевести средства, а затем удержать огромную сумму в качестве вознаграждения — больше похоже на дорогой шантаж под прикрытием безопасности.
4000 BTC едва не были выведены, злоумышленник Liquid оставляет награду в 47 миллионов долларов
На прошлых выходных, в то время как рынок ончейн-транзакций был оживлённым, Liquid Network, управляемый Blockstream, столкнулся с серьёпным инцидентом безопасности.
6 сентября злоумышленник, воспользовавшись уязвимостью кэширования range-proof (доказательства диапазона) в программном обеспечении Elements, создал из воздуха около 4000 L-BTC, не обеспеченных реальными резервами BTC. Затем, используя обычные каналы авторизации ключей peg-out на платформе расчётов SideSwap, злоумышленник вывел около 3996 BTC из федерального кошелька Liquid, что на тот момент составляло около 320 миллионов долларов. Эти средства составляли около 95% от общего резерва, после вывода в федеральном кошельке осталось лишь около 197 BTC.
Liquid затем приостановил сетевую активность, а также пополнение и вывод L-BTC. Однако данный инцидент не связан с компрометацией приватных ключей федерального кошелька Liquid или взломом системы SideSwap или ключей авторизации peg-out. Согласно подтверждению Blockstream, использованные для вывода L-BTC фактически были получены из-за уязвимости в программном обеспечении Elements.
Судя по процессу атаки, перед массовым переводом средств злоумышленник сначала провёл тест на сумму около 2,5 BTC. Затем он отправил около 3996 L-BTC в сервис peg-out SideSwap. SideSwap, следуя стандартной процедуре, уничтожил L-BTC и инициировал запрос на вывод, а федерация Liquid, в соответствии с действующим процессом авторизации, перевела соответствующие BTC на указанный адрес.
После инцидента злоумышленник связался с Blockstream через подписанные сообщения в блокчейне и отправил на федеральный кошелёк 1000 сатоши в качестве сигнала: «Мы белые хакеры, свяжитесь с нами через блокчейн». Затем злоумышленник чётко потребовал, чтобы Blockstream в первую очередь устранил уязвимость и обеспечил обновление всех узлов, пообещав безопасно вернуть большую часть средств после подтверждения устранения уязвимости.
Blockstream затем ответил подписанным сообщением в блокчейне: «Подтверждаем, что узлы моста были обновлены, можно безопасно возвращать средства».
7 сентября этот белый хакер в итоге вернул 3400 BTC на федеральный кошелёк Liquid, что эквивалентно возврату примерно 85% от ранее выведенных средств, но оставил себе 598,5 BTC в качестве награды за обнаружение уязвимости. По рыночной цене на тот момент стоимость этих BTC уже превышала 47 миллионов долларов.
Для Liquid возврат 3400 BTC, несомненно, значительно смягчил кризис, вызванный массовым оттоком резервов из федерального кошелька. Однако, поскольку L-BTC обеспечены реальными BTC, хранящимися у федерации Liquid в соотношении 1:1, в дальнейшем Liquid всё ещё необходимо восполнить оставшийся дефицит резервов, а также восстановить ущерб, нанесённый доверию рынка данным инцидентом атаки.
Белый хакер или шантажист? Высокая награда за уязвимость вызывает споры
Программы вознаграждений за обнаружение уязвимостей являются обычным инструментом для стимулирования белых хакеров и перехвата уязвимостей до их эксплуатации. Ключевой момент, вызвавший споры в случае с Liquid, заключается не в том, следует ли выплачивать вознаграждение, а в том, что средства уже были переведены, размер вознаграждения определяется самим злоумышленником, и в итоге сумма настолько велика, что может изменить ожидания отрасли в отношении вознаграждений за уязвимости.
С одной стороны, многие считают, что действия злоумышленника не соответствуют традиционным нормам поведения белого хакера. Обычно исследователи безопасности, обнаружив уязвимость, сообщают о ней проекту в частном порядке, предоставляя определённое окно для исправления, а затем получают вознаграждение в соответствии с правилами, установленными платформой или проектом. Но ситуация с Liquid иная: злоумышленник сначала перевёл средства на контролируемый им адрес, затем потребовал от Blockstream устранить уязвимость и обеспечить обновление всех узлов; после подтверждения устранения уязвимости вернул большую часть средств.
Конечно, некоторые считают, что такой подход не совсем непонятен. Причина в том, что как только уязвимость обнаружена, существует риск её опережающего использования другими злоумышленниками, особенно на фоне ускоряющегося темпа атак благодаря ИИ. Перевод средств злоумышленником на контролируемый им адрес в определённой степени может быть и мерой для обеспечения того, чтобы эти средства не были похищены другими лицами до устранения уязвимости.
Более того, по сравнению с предыдущими случаями в криптоиндустрии, когда проекты договаривались о вознаграждении со злоумышленниками, в случае с Liquid размер награды фактически определялся самим злоумышленником. CTO Ledger Шарль Гийоме отмечает, что если стороны договорились о вознаграждении через подписанное криптографическое соглашение в блокчейне, то такая практика больше похожа на вымогательство, чем на действия белого хакера.
На самом деле, вопрос о границах действий белых хакеров существует уже давно. Например, в 2024 году криптобезопасностная компания CertiK обнаружила серьёзную уязвимость в системе депозитов криптобиржи Kraken, позволяющую злоумышленникам использовать незавершённые операции пополнения для увеличения баланса счёта и последующего вывода средств. Kraken затем устранил уязвимость, но в ходе этого выяснил, что связанные с CertiK лица несколько раз использовали данную уязвимость, в общей сложности выведя почти 3 миллиона долларов. Kraken обвинил их в несоблюдении норм раскрытия информации для белых хакеров и в отказе вернуть средства по вопросу их распоряжения, заявив, что их действия переросли из тестирования безопасности в «вымогательство», и сообщил, что связался с правоохранительными органами. CertiK впоследствии признала, что тестирование проводилось ею, и заявила, что это было сделано для проверки возможности использования уязвимости для подделки депозитов, вывода средств, а также срабатывания ли механизмов контроля рисков Kraken, и призвала Kraken прекратить любые угрозы в адрес белых хакеров.
С другой стороны, размер вознаграждения в случае с Liquid также привлёк внимание. Если рассматривать только процент, 15% — не самая крайняя цифра. Криптоиндустрия часто предлагает вознаграждения за уязвимости, значительно превышающие уровень традиционных отраслей. Например, децентрализованный стейблкоин-протокол Usual ранее запустил программу вознаграждений за уязвимости на 16 миллионов долларов, что является одной из крупнейших программ такого рода в истории криптовалют. Но проблема Liquid в том, что 15% в итоге соответствуют огромной сумме вознаграждения, превышающей 47 миллионов долларов, что значительно больше, чем в предыдущих случаях с Wormhole, GMX, Cetus и другими.
Конечно, некоторые поддерживают такие крупные вознаграждения. Анонимный владелец Bitcoin.org Cøbra считает, что белый хакер заслуживает каждого цента. Надеюсь, что в будущем вознаграждения за уязвимости такого размера станут отраслевым стандартом, только так мы все станем безопаснее. Основатель SlowMist Юйсянь также считает, что в будущем для крупных случаев кражи по умолчанию можно начинать с 15%, для некрупных — с 20%, при этом предоставляя иммунитет, постепенно формируя отраслевой консенсус.
Оглядываясь назад, многие криптопротоколы предлагали весьма ограниченные вознаграждения за уязвимости, что даже вызывало недовольство у исследователей безопасности.
Например, белый хакер f4lc0n ранее опубликовал в платформе X сообщение, раскрывающее, что он обнаружил в протоколе Injective уязвимость уровня «критической», которая могла привести к прямому изъятию активов на сумму более 500 миллионов долларов в блокчейне, но проект предложил ему вознаграждение всего в 50 000 долларов, что значительно ниже максимального предела в 500 000 долларов для этого уровня по его программе. После подачи отчёта команда Injective на следующий день инициировала голосование за обновление мейннета и устранила эту уязвимость. Но f4lc0н заявил, что в последующие три месяца команда находилась в состоянии «потери связи», а вознаграждение в 50 000 долларов ещё не было выплачено. Руководитель инжиниринга Injective Боян Анджелкоски в ответ заявил, что уязвимость не привела к фактической потере средств или краже адресов, и для её практического использования потребовалось бы выполнение нескольких подозрительных транзакций, что ограничивает сферу воздействия. Поэтому она не относится к критическому уровню безопасности в области блокчейна, максимальное вознаграждение составляет 50 000 долларов; блокчейн-безопасностная компания Decurity обнаружила уязвимость безопасности в смарт-контракте DxSale, потенциально затрагивающую как минимум 5,2 миллиона долларов пользовательских средств, но проект попытался преуменьшить возможное влияние уязвимости и предложил вознаграждение за уязвимость всего в 500 долларов.
Соучредитель блокчейн-безопасностной компании Halborn Стивен Уолброэль раскрыл, что у некоторых проектов, предлагающих вознаграждения за уязвимости, часто есть стимул заплатить как можно меньше или вовсе не платить. Здесь присутствуют прямые экономические издержки, некоторые команды проектов, чтобы сохранить свою репутацию, могут намеренно преуменьшать серьёзность уязвимостей, о которых сообщают исследователи, оставляя пользователей по-прежнему подверженными рискам.
По его мнению, для исследователя безопасности такой опыт очень разочаровывает: вкладываешь много времени в поиск уязвимостей, в итоге оказываешься проигнорированным проектом, или даже сталкиваешься с обвинениями. В такой ситуации некоторые деструктивные действия, такие как прямое хищение крупных сумм, могут даже казаться исследователям разумным способом «заставить проект действовать».
С более долгосрочной точки зрения, создание совершенных механизмов обнаружения уязвимостей, реагирования и выплаты вознаграждений, а также обеспечение разумных, прозрачных и надёжных стимулов для исследователей безопасности — важное звено в снижении вероятности повторения подобных инцидентов. Но в то же время безопасность не может обеспечиваться только охотниками за наградами, сами проекты также должны создавать более совершенные механизмы защиты.
