תוקפים שהציגו עצמם כ"האקרים לבנים" ניצלו פגם תוכנה ברשת Liquid Network של חברת Blockstream ורוקנו כ-4,000 Bitcoin בשווי כ-320 מיליון דולר מארנק ה-Federation המשותף של הרשת. בניגוד לרוב מקרי גניבת הקריפטו, התוקפים לא נעלמו עם הכסף — הם הודיעו שיחזירו את רובו ברגע שהחברה תתקן את הפגיעות, ואכן עשו זאת.
הפרטים
Liquid Network היא רשת "שכבה שנייה" מעל הביטקוין שהושקה ב-2018 על ידי חברת Blockstream והיא משמשת בעיקר בורסות קריפטו להעברות מהירות בין פלטפורמות. לפי הדיווחים, הפגיעות נבעה מבאג ברכיב "הוכחת טווח" — הידוע באנגלית כ-range-proof — בתוכנת הבלוקצ'יין Elements שעליה מבוססת הרשת — כשל שאפשר ליצור מטבעות באופן שלא ניתן היה להבחין בינם לבין מטבעות אמיתיים, ולא פריצה למפתחות הצפנה או לחומרת אבטחה. התוקפים תקשרו עם Blockstream באמצעות הודעות שהוטמעו בתוך עסקאות ביטקוין עצמן, והבהירו שיחזירו את רוב הסכום רק לאחר שהחברה תפרסם תיקון ותוודא שהוא הותקן ברשת.
חברת Blockstream אכן תיקנה את הפגם, ובעקבות זאת הוחזרו כ-3,400 Bitcoin לארנק המקורי. התוקפים שמרו לעצמם כ-598 Bitcoin, כ-47 מיליון דולר, כתגמול עצמאי על מה שהם מכנים חשיפת הפגיעות. הגדרה עצמית כ"האקרים לבנים" אינה פוטרת אותם באופן אוטומטי מאחריות משפטית — גניבת נכסים ודרישת תנאי (תיקון הפגיעות) לפני החזרתם יכולה להיחשב כסחיטה, גם אם חלק מהכסף חזר בסוף.
נקודות לשים לב
- אם הארגון שלך מפעיל תשתית שמתבססת על Liquid Network או על תוכנת Elements — ודא שהותקן העדכון שתיקן את הפגם ברכיב הוכחת הטווח.
- המקרה מדגים שגם רשתות בלוקצ'יין ותיקות ונבדקות היטב יכולות להכיל כשלים בסיסיים ברכיבי הצפנה שלהן, לא רק בממשקים חיצוניים או בניהול מפתחות.
- אל תסיק מהמקרה הזה שניתן לסמוך על "האקרים לבנים" להחזיר כספים גנובים — זהו מקרה חריג, ורוב תקיפות הקריפטו מסתיימות באובדן מוחלט של הנכסים.
- ארגונים שמחזיקים בנכסי קריפטו בארנקים משותפים (federation/multisig) צריכים תהליך תגובה מהיר לחשד לפגיעות, כולל יכולת להשעות פעילות עד לאימות שהתיקון נכנס לתוקף ברשת כולה.
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
