Tranh cãi về sự cố Liquid Network
Mitchell Amador, CEO của Immunefi, cho biết các kẻ tấn công Liquid Network đã đánh mất mọi quyền lợi của danh hiệu white-hat khi giữ lại 598,5 BTC sau khi trả lại 3.400 BTC từ tổng số khoảng 4.000 BTC bị khai thác. Trong cuộc phỏng vấn với crypto.news, Amador nhấn mạnh rằng việc di chuyển tài sản của người dùng mà không có sự cho phép không thể được coi là hành động cứu trợ, đặc biệt khi nhà nghiên cứu giữ lại một phần quỹ hoặc đặt ra các điều khoản thanh toán.
“Việc tiết lộ có phối hợp chấm dứt ngay khi bạn tự đặt ra các điều khoản,” Amador nói. “Tiền đó chưa bao giờ là của bạn để cứu, vì vậy việc di chuyển nó không phải là cứu trợ.”
Những bình luận của ông đề cập đến tranh cãi xung quanh sự cố Liquid Network, khi các tác nhân chưa xác định đã rút khoảng 4.000 BTC, trị giá khoảng 320 triệu USD vào thời điểm đó, trước khi tự xưng là whitehats. Họ đã trả lại 3.400 BTC sau khi Blockstream vá các nút cầu bị ảnh hưởng nhưng giữ lại 598,5 BTC. Blockstream đã từ chối yêu cầu của nhóm này về một khoản tiền thưởng 10% và khẳng định sẽ không trả tiền cho việc trả lại Bitcoin còn lại.
Quan điểm của Blockstream và Amador
Blockstream đã bác bỏ yêu cầu của các kẻ tấn công rằng hành động này tương đương với việc tiết lộ có trách nhiệm. Amador cho biết một nhà nghiên cứu bảo mật nên sử dụng các kênh tiết lộ riêng tư, tốt nhất là thông qua một chương trình tiền thưởng lỗi đã được xác định, thay vì lấy tài sản và thương lượng một phần thưởng sau đó.
“Giữ lại một đô la từ quỹ của người dùng là hành vi trộm cắp, bất kể ý định ban đầu là gì. Con đường cho một nhà nghiên cứu là tiết lộ riêng tư, lý tưởng là trong một chương trình được xác định rõ ràng.”
Sự phân biệt này dựa trên sự ủy quyền chứ không phải động cơ được nêu của nhà nghiên cứu. Theo quan điểm của Amador, việc phát hiện một lỗ hổng thực sự không cho phép ai đó quyền di chuyển tài sản của người dùng, giữ chúng làm tài sản thế chấp, hoặc quyết định bồi thường nào là hợp lý.
Blockstream đã có lập trường tương tự trong phản hồi vào ngày 11 tháng 9. Như đã được báo cáo trước đó bởi crypto.news, công ty cho biết việc lấy tài sản mà không có sự cho phép và từ chối trả lại chúng cấu thành hành vi trộm cắp chứ không phải công việc của whitehat.
Khung Whitehat Safe Harbor
Amador đã phát triển khung Whitehat Safe Harbor để thiết lập các điều kiện như vậy trước khi một giao thức phải đối mặt với một cuộc tấn công. Ông so sánh hành động khẩn cấp với việc cứu một ngôi nhà khỏi hỏa hoạn: nhu cầu cứu trợ không cho phép mọi phương pháp cứu trợ có thể.
“Có, các điều khoản cứu trợ phải tồn tại trước khi xảy ra một vụ khai thác,” ông nói. “Tất cả các giao thức nghiêm túc nên đặt ra những điều này trước.”
Các quy tắc đã được xác định trước có thể xác định các hệ thống mà các nhà nghiên cứu có thể kiểm tra, cách họ phải tiết lộ một lỗ hổng, và những hành động họ có thể thực hiện trong một sự cố đang diễn ra. Chúng cũng có thể nêu rõ mức tiền thưởng tối đa, điều kiện thanh toán và các bảo vệ pháp lý có sẵn cho các nhà nghiên cứu vẫn nằm trong phạm vi được phê duyệt.
Những thách thức trong việc thương lượng
Amador cho biết khoản tiền thưởng nên đạt tới 10% quỹ có nguy cơ trong khi vẫn phải chịu một giới hạn mà giao thức có thể chi trả. Đặt số tiền quá thấp có thể khiến việc trộm cắp trở nên hấp dẫn hơn so với việc tiết lộ, trong khi một khoản thanh toán quá mức có thể khiến dự án được cứu không thể tiếp tục hoạt động.
“Định giá quá cao, và việc thanh toán có thể giết chết giao thức mà bạn vừa cứu, điều này không giúp ích cho ai cả,” ông nói.
Các dự án vẫn có thể trả trên mức giới hạn đã nêu khi một báo cáo xứng đáng với một khoản tiền thưởng lớn hơn, Amador bổ sung. Theo mô hình mà ông đề xuất, giao thức giữ quyền kiểm soát quyết định đó thay vì cho phép một nhà nghiên cứu thiết lập phí sau khi tiếp nhận tài sản của người dùng.
Kết luận
Vào tháng 12 năm 2023, kỹ sư bảo mật cũ Shakeeb Ahmed đã nhận tội về tội lừa đảo máy tính sau khi khai thác hai sàn giao dịch phi tập trung và thu được hơn 12 triệu USD. Theo Bộ Tư pháp Mỹ, Ahmed đã thương lượng với một nền tảng và đề xuất trả lại quỹ bị đánh cắp ngoại trừ 1,5 triệu USD nếu sàn giao dịch đồng ý không liên hệ với cơ quan thực thi pháp luật.
