Hakerski napad na Liquid nije čin etičkog hakiranja već obična iznuda

Postoje tri vrste hakera na svijetu i svi oni nose pokrivala za glavu različitih boja.

"Crni šeširi" oni su s kojima smo najviše upoznati: kriminalci koji iskorištavaju sustav radi vlastite koristi, kradući imovinu koju zadržavaju za sebe ili je koriste za iznudu. Na drugoj su strani "bijeli šeširi" koji obično surađuju s tvrtkama tražeći sigurnosne propuste u zamjenu za nagradu, a onda su tu i "Sivi šeširi" koji se nalaze negdje između.

Osoba ili osobe koje su izvele najnoviji alarmantni hakerski napad na kriptoindustriju – izvlačeći 320 milijuna dolara u Bitcoinu iz mreže Liquid – tvrde da su "dobri momci". No, oni to nisu. Njihovi dosadašnji postupci više nalikuju onima kriminalaca koji su se uplašili te sada pokušavaju izvući što više novca iz mreže uz minimalne pravne posljedice.

Kibernetička sigurnost važna je za svako poslovanje, no još je važnija u "Divljem zapadu" kriptosvijeta. Baš kao što očekujemo da banke odgovorno postupaju s našim novcem, tako ni Bitcoin i slične valute nikada neće biti ništa drugo doli alat špekulanata i kriminalaca ako industrija ne počne ozbiljno shvaćati sigurnost našeg digitalnog bogatstva. "Bijeli šeširi" igraju ključnu ulogu u uspostavljanju barem dijela tog povjerenja.

Istinski "etičan" haker – eufemistički nazivan "sigurnosnim istraživačem" – obavijestio bi tvrtku o otkrivenoj potencijalnoj prijetnji, nakon čega bi uslijedili razumni pregovori o vrijednosti te informacije. Neke tvrtke mudro provode programe nagrađivanja za otkrivanje sigurnosnih propusta (tzv. bug bounty programe), nudeći unaprijed određene nagrade.

Koliko je poznato, to se nije dogodilo tijekom vikenda mreži Liquid, blockchainu koji funkcionira kao brža inačica notorno sporog i nezgrapnog Bitcoina. Liquid koristi token nazvan LBTC, koji je pokriven jednakom količinom stvarnog Bitcoina u rezervi, slično načinu na koji stablecoini funkcioniraju s američkim dolarom.

U nedjelju je nepoznati napadač ciljao softversku komponentu koja mu je omogućila stvaranje 4000 tokena LBTC bez polaganja odgovarajuće količine Bitcoina potrebnog za njihovo pokriće. Zatim je te tokene zamijenio za pravi Bitcoin, ostavivši mrežu Liquid s nešto manje od 200 Bitcoina u rezervi (čime je vrijednost LBTC-a u vlasništvu drugih korisnika pala na oko pet posto njegove prijašnje tržišne vrijednosti). Haker se kasnije deklarirao kao "white hat", izjavivši da neće vratiti sredstva sve dok se ne otkloni propust koji je iskoristio. Nakon još nekoliko poruka, vratio je oko 85 posto ukradenih bitcoina, zadržavši za sebe otprilike 47 milijuna dolara.

Zvuči li vam to kao postupak etičkog hakera? Ne bi trebalo. Ne postoje javni dokazi da je napadač unaprijed pokušao kontaktirati razvojnu tvrtku mreže Blockstream u vezi s tim propustom – niti mjenjačnice koje pomažu u održavanju mreže Liquid. Uobičajena praksa nalaže da istraživač, ako želi demonstrirati potencijalni utjecaj greške, to učini na minimalno invazivan način. Pražnjenje pričuve i izazivanje dugotrajne obustave rada mreže teško se uklapa u taj opis. A zarada od 47 milijuna dolara – ako na tome i ostane – ne zadovoljava nikakve etičke standarde.

Tony Lee iz tvrtke HackerOne, specijalizirane za uspostavu programa nagrađivanja za otkrivanje sigurnosnih propusta i posredovanje u komunikaciji s etičkim hakerima, kaže mi da u više od 20 godina rada u ovoj industriji nikada nije vidio da je etički haker primio isplatu veću od milijun dolara. Veće tvrtke obično isplaćuju između 10.000 i 150.000 dolara kao nagradu za otkrivanje propusta, navodi on.

Depositphotos

Iako ne možemo pročitati sve poruke razmijenjene između napadača i razvojnog tima mreže Liquid, krajnje je nevjerojatno da su se dvije strane dogovorile o nagradi od 15 posto. Naravno, sigurnost na potpuno digitalnom tržištu od presudne je važnosti, pa nagrade mogu biti i veće: Coinbase Global prošle je godine počeo nuditi iznose do 5 milijuna dolara. No, 47 milijuna dolara nezamisliv je iznos.

Ovaj incident moramo nazvati pravim imenom: iznuda. Čak i ako velikodušno pretpostavimo da je napadač pokušao prijaviti propust prije nedjeljnog napada, on je zapravo uzeo cijeli Liquid blockchain kao taoca. Ako haker ne popusti, razvojni tim mreže Liquid morat će prikupiti sredstva za pokrivanje gubitka ili sudskim putem goniti hakera, i to na štetu svojih korisnika, funkcionalnosti proizvoda i, vrlo vjerojatno, vlastitog ugleda.

Čelnik Blockstreama Adam Back uvjerio je ulagače da će se pričuva LBTC-a u potpunosti nadoknaditi, bez obzira na ishod procesa povrata sredstava. Već smo svjedočili situacijama u kojima hakeri ustraju na tome da su u pravu, čak i kada je očito da nisu. "Kod je zakon" (eng. code is law) cijenjeno je načelo u svijetu kriptovaluta: ako tehnologija nešto omogućuje, to se smatra dopuštenim. Hakeri su na sudu tvrdili da su njihovi postupci opravdani jer su pravila protokola dopuštala izvedbu krađe. Neki su u tome čak i uspjeli.

Posljednja javna poruka hakera koji je napao mrežu Liquid ovog tjedna bila je svojevrsno upozorenje, pokušaj prebacivanja krivnje na samu mrežu zbog njezinih nedostataka. Zahtijevali su da Blockstream pristane na predaju 10 posto ukradenih sredstava (oko 34 milijuna dolara) kao nagradu ili se pomire da će investitori pretrpjeli gubitak od 15 posto.

Nažalost, ovo neće biti posljednji put da se susrećemo s ovim problemom. Upotreba umjetne inteligencije za otkrivanje propusta u tehnološkim sustavima u posljednje je vrijeme naglo porasla, a broj kripto-napada ove godine već znatno premašuje ukupne brojke iz 2025. godine. To postupno istiskuje s tržišta ljude koji se bave traženjem sigurnosnih propusta, a vjerojatno stvara i novu generaciju onih koji će tražiti nagrade, a da pritom ne razumiju kako kripto funkcionira.

Možda napadač na platformu Liquid spada u tu kategoriju onih koji su jednostavno naivni. To ne znači da bi se njihovi postupci trebali tretirati s manje strogosti. Privukli su toliku pozornost da će pranje nezakonito stečenih sredstava ionako biti teško izvedivo, s obzirom na to da tvrtke specijalizirane za praćenje transakcija na blockchainu već prate svaki njihov korak.

Ako je Blockstream ponudio nagradu bez pravnih posljedica, haker bi je trebao prihvatiti i biti zahvalan. Isto tako, ovo bi trebala biti lekcija za kripto-industriju. Pokretanje vlastitog programa nagrađivanja za otkrivanje propusta kako bi se preduhitrilo zlonamjerne hakere pruža najbolje izglede za opstanak na tržištima koja privlače kriminalce. Da su dospjeli u ruke nekog drugog, svih 4000 Liquidovih bitcoina nestalo bi u trenu, a sam bi se propust mogao otkriti i ranije da su dobronamjerni hakeri imali financijski poticaj za njegovo pronalaženje.