Liquid verliert 85%, lässt 47 Millionen als Bug-Bounty zurück — zählt das als Whitehat?
In den letzten Tagen wird in der Community viel darüber diskutiert, und ich möchte meine Sichtweise dazu darlegen.
Zuerst die Fakten: Der Angreifer hat 4000 frei erfundene LBTC erschaffen und sie im normalen Prozess gegen 3996 echte BTC getauscht. Nachdem Blockstream die Knoten repariert hatte, gab der Angreifer zusätzlich 3400 Einheiten zurück — übrig blieben etwa 598,5 Einheiten; bei aktuellen Kursen entspricht das rund 47 Millionen US-Dollar.
Der Angreifer nennt sich „Whitehat“: Ich bin nicht hier, um Geld zu stehlen, ich will euch nur auf eine Sicherheitslücke hinweisen.
Aber es gibt ein Logikproblem. Wie lautet der Standardablauf für verantwortungsvolle Offenlegung? Zuerst eine Schwachstelle finden → dem Projekt melden → warten, bis es behoben ist → die Bug-Bounty erhalten. Hier war es aber anders: erst 95% der Reserven leerräumen → dann abwarten, bis das Projekt repariert → 85% zurückzahlen → 15% als Bug-Bounty behalten.
Die Reihenfolge ist vertauscht, und damit ändert sich auch die Natur der Sache. Dass Blockstream on-chain bestätigt hat, dass die Knoten repariert und eine Rückerstattung möglich ist, macht das Ganze noch subtiler — aus Sicht des Angreifers heißt das im Grunde: „Geld zurückgeben und sich einigen“ ist ein Gang. Ledger’s CTO formulierte es noch direkter: Das ist kein Whitehat, das ist erst Entführen und dann verhandeln.
Als Gründer von FuturaKey und jemand, der selbst On-Chain-Produkte baut, verstehe ich, warum sich die Community in zwei Lager spaltet. Die eine Seite meint: Das meiste Geld ist zurückgekommen, also ist das Ergebnis gut. Die andere Seite sagt: Wenn so ein Verhalten belohnt wird, werden Angreifer beim nächsten Mal noch dreister sein — erst leerräumen, dann wird schon ein Teil zurückgezahlt und man kann sich als Whitehat „reinwaschen“.
Meine Position ist die zweite. Der Grund ist ganz einfach: Wenn „erst zuschlagen, dann zurückzahlen“ auch als Whitehat bezeichnet werden kann, gibt es für Hacker keine Misserfolgs-Kosten mehr — beim Erfolg bleibt ein Teil, beim Scheitern nennt man sich Whitehat und bittet um Gnade. Das ist extrem unfair gegenüber Forschern, die Sicherheits-Offenlegung ganz ordentlich und regelkonform machen.
Noch beachtenswerter sind die Branchensignale: In diesem Monat Liquid 3,2 Milliarden und Cronos Rollbacks — die Dichte von Sicherheitsvorfällen nimmt zu. Im Bärenmarkt sind Hacker aktiver als im Bullenmarkt: Die Verteidigungsbudgets der Projekte werden gekürzt, die Erträge von Angriffen bleiben jedoch gleich.
Für normale Nutzer lautet mein Rat nur eins: Die Sicherheitsstufe von geancherten Assets und Sidechain-Assets sollte niemals höher sein als die des Mainnets. Nur weil die Rendite etwas höher ist, legt kein großes Kapital dort an.
Findest du, dass „erst leerräumen und dann 85% zurückzahlen“ als Whitehat gilt? Schreib’s in die Kommentare.
Oben nur persönliche Beobachtungen, keine Anlageberatung.
#Liquid #BTC #Web3 #链上安全 #FuturaKey
In den letzten Tagen wird in der Community viel darüber diskutiert, und ich möchte meine Sichtweise dazu darlegen.
Zuerst die Fakten: Der Angreifer hat 4000 frei erfundene LBTC erschaffen und sie im normalen Prozess gegen 3996 echte BTC getauscht. Nachdem Blockstream die Knoten repariert hatte, gab der Angreifer zusätzlich 3400 Einheiten zurück — übrig blieben etwa 598,5 Einheiten; bei aktuellen Kursen entspricht das rund 47 Millionen US-Dollar.
Der Angreifer nennt sich „Whitehat“: Ich bin nicht hier, um Geld zu stehlen, ich will euch nur auf eine Sicherheitslücke hinweisen.
Aber es gibt ein Logikproblem. Wie lautet der Standardablauf für verantwortungsvolle Offenlegung? Zuerst eine Schwachstelle finden → dem Projekt melden → warten, bis es behoben ist → die Bug-Bounty erhalten. Hier war es aber anders: erst 95% der Reserven leerräumen → dann abwarten, bis das Projekt repariert → 85% zurückzahlen → 15% als Bug-Bounty behalten.
Die Reihenfolge ist vertauscht, und damit ändert sich auch die Natur der Sache. Dass Blockstream on-chain bestätigt hat, dass die Knoten repariert und eine Rückerstattung möglich ist, macht das Ganze noch subtiler — aus Sicht des Angreifers heißt das im Grunde: „Geld zurückgeben und sich einigen“ ist ein Gang. Ledger’s CTO formulierte es noch direkter: Das ist kein Whitehat, das ist erst Entführen und dann verhandeln.
Als Gründer von FuturaKey und jemand, der selbst On-Chain-Produkte baut, verstehe ich, warum sich die Community in zwei Lager spaltet. Die eine Seite meint: Das meiste Geld ist zurückgekommen, also ist das Ergebnis gut. Die andere Seite sagt: Wenn so ein Verhalten belohnt wird, werden Angreifer beim nächsten Mal noch dreister sein — erst leerräumen, dann wird schon ein Teil zurückgezahlt und man kann sich als Whitehat „reinwaschen“.
Meine Position ist die zweite. Der Grund ist ganz einfach: Wenn „erst zuschlagen, dann zurückzahlen“ auch als Whitehat bezeichnet werden kann, gibt es für Hacker keine Misserfolgs-Kosten mehr — beim Erfolg bleibt ein Teil, beim Scheitern nennt man sich Whitehat und bittet um Gnade. Das ist extrem unfair gegenüber Forschern, die Sicherheits-Offenlegung ganz ordentlich und regelkonform machen.
Noch beachtenswerter sind die Branchensignale: In diesem Monat Liquid 3,2 Milliarden und Cronos Rollbacks — die Dichte von Sicherheitsvorfällen nimmt zu. Im Bärenmarkt sind Hacker aktiver als im Bullenmarkt: Die Verteidigungsbudgets der Projekte werden gekürzt, die Erträge von Angriffen bleiben jedoch gleich.
Für normale Nutzer lautet mein Rat nur eins: Die Sicherheitsstufe von geancherten Assets und Sidechain-Assets sollte niemals höher sein als die des Mainnets. Nur weil die Rendite etwas höher ist, legt kein großes Kapital dort an.
Findest du, dass „erst leerräumen und dann 85% zurückzahlen“ als Whitehat gilt? Schreib’s in die Kommentare.
Oben nur persönliche Beobachtungen, keine Anlageberatung.
#Liquid #BTC #Web3 #链上安全 #FuturaKey
