Im August wurde Nomad, eine Plattform, die es Benutzern ermöglicht, Token zwischen verschiedenen Blockchains zu übertragen, Opfer eines Hacks, der seinen Benutzern fast 200 Millionen Dollar entzog.
Anweisungen zur Durchführung des Angriffs verbreiteten sich wie ein Lauffeuer über Twitter und verwandelten einen einmaligen Raubüberfall in einen kostenlosen Angriff für alle, der eine Transaktion in die Ethereum-Blockchain kopieren und einfügen konnte.
Als Black-Hat-Hacker mit Millionen davonliefen, plünderten sogenannte „White Hats“ – barmherzige Samariter – die Gelder, um sie an Nomad zurückzugeben. Insgesamt konnten durch die Rettungsaktion an der Basis mehr als 38,5 Millionen US-Dollar den Angreifern entzogen werden.
White-Hat-Hacker spielen eine entscheidende Rolle bei der Sicherung des Web3-Ökosystems, und doch werden laut DarkFi.eth – einem der Hacker, die Nomad ausgenutzt haben, um seine Gelder vor Angreifern zu retten – altruistische Hacker nicht genug bezahlt und operieren in einem unklare Rechtslandschaft.
Nomad x DarkFi-Fallstudie
DarkFi.eth (nicht verwandt mit DarkFi, der Layer-1-Blockchain mit der Lunarpunk-Philosophie) war einer der White Hats, die etwa 2 Millionen Dollar von der Nomad Bridge gestohlen und anschließend zurückgegeben haben.
Als DarkFi sah, dass verdächtige Transaktionen in und aus dem Nomad Bridge Smart Contract flossen, kopierte der Hacker das Format dieser ähnlich aussehenden Transaktionen und fügte es in seine eigenen, neuen Transaktionen ein. Plötzlich tauchten einige von Nomads Geldern – Gelder, die technisch gesehen den Benutzern von Nomad gehörten – in der Krypto-Brieftasche von DarkFi auf.
Der pseudonyme Hacker trat schnell in Aktion und erinnerte sich in einem Interview mit CoinDesk, dass er das „Potenzial bemerkte, etwas mehr von diesem Geld [aus Nomad] herauszuholen, bevor es von anderen böswilligen Akteuren genommen wird“.
DarkFi wiederholte die fehlerhafte Transaktion mehrmals (eins, zwei, drei, vier, fünf).
Abgesehen von der Absicht führten DarkFi und andere White Hats genau die gleichen Schritte durch wie die Nomad-Exploiter: Sie zogen Gelder ohne die Erlaubnis der Eigentümer ab.
DarkFi wollte mehr Geld retten, aber er sagte, er habe „im Grunde darauf verzichtet, mehr zu nehmen“, weil er „besorgt über die Auswirkungen davon“ sei.
„Obwohl ich fest vorhatte, das Geld zurückzugeben, war es immer noch unklar“, sagte DarkFi.
Weiße Hüte und schwarze Hüte
Hacker, die Softwarecode scannen, um potenzielle Schwachstellen zu identifizieren, werden durch ihre metaphorischen weißen und schwarzen Hüte identifiziert.
Black Hats nutzen gezielt die Schwachstellen aus, die sie finden – sie plündern Krypto, erpressen Unternehmen oder verkaufen ihre Entdeckungen an einen kriminellen Untergrundmarkt. Stephen Tong, Mitbegründer der Sicherheitsprüfungsfirma Zellic.io, nennt diese Hacker „Söldner“.
„Black Hats achten die meiste Zeit einfach auf sich selbst, sei es aus Profit- oder Unterhaltungsgründen“, sagte Tong in einem Interview mit CoinDesk.
„White Hats hingegen versuchen strikt, das Richtige zu tun. Sie versuchen, in gutem Glauben zu handeln“, sagte er.
Im Zusammenhang mit Web3 warnen White Hats normalerweise Protokollentwickler, bevor sie einen Fehler entdecken, der gepatcht werden muss. Als Gegenleistung für die verantwortungsbewusste Offenlegung von Fehlern belohnen Protokolle White Hats im Allgemeinen mit einer Art Kopfgeld.
Manchmal, wie im Fall von Nomad, entdecken White Hats einen so schwerwiegenden Fehler, dass sie beschließen, ihn selbst auszunutzen – gefährdete Gelder zu sichern und die Gelder an das Protokoll zurückzugeben, bevor sie von jemandem mit bösen Absichten gestohlen werden können.
In diesen Fällen, wenn die ursprüngliche Absicht eines Hackers schwer herauszufinden ist (vielleicht haben sie das Geld nur aus Angst vor der Strafverfolgung zurückgegeben), kann es für ein Protokoll schwierig werden, zu entscheiden, wie – und ob – sie entschädigt werden sollten.
Problem der Offenlegung von Schwachstellen
DarkFi hat ein häufiges Problem für White Hats hervorgehoben: die Offenlegung von Schwachstellen.
Wenn ein Hacker weiß, dass ein Protokoll angreifbar ist und Gelder ohne die Erlaubnis der Eigentümer abgehoben werden könnten, ergeben sich für den Hacker zwei Möglichkeiten:
-
Die Schwachstelle ausnutzen, um die Gelder selbst zu sichern, mit der Absicht, sie zurückzugeben.
-
Oder alarmieren Sie das Projekt, ohne die Schwachstelle auszunutzen.
Wenn ein weißer Rand die erste Option gewählt und die Schwachstelle ausgenutzt hat, „ist der rechtliche Status dessen, was Sie tun, sehr in der Luft. Technisch gesehen können Sie immer noch von einem Projekt verklagt werden, wenn Sie White-Hat-Arbeit leisten und etwas Geld stehlen, um es vor einem Black-Hat-Hacker zu retten“, sagte DarkFi.
Das Problem bei der zweiten Option ist, dass das Projekt keinen Anreiz hat, Ihnen den vollen Betrag mitzuteilen, bevor Sie dem Projekt bereits den Fehler mitgeteilt haben. Tong wies darauf hin, dass das Projekt mit bereits zurückgezahlten Geldern oder bereits gepatchten Schwachstellen seinen Anreiz verliert, den maximal möglichen Betrag zu teilen, und die weiße Linie weniger Einfluss hat.
In beiden Szenarien wollen White-Hat-Hacker normalerweise eine Belohnung, weil sie ein Protokoll vor einem größeren Verlust bewahrt haben. Aber gleichzeitig wollen White Hats nicht als Erpresser auftreten – sie halten Gelder oder Informationen als Geiseln, es sei denn, sie werden „fair“ entschädigt
Das Problem der Offenlegung von Schwachstellen sei „ein Optimierungsproblem“, sagte Tong. „Weil Sie den Schmerz minimieren wollen“ für Entwickler, Benutzer und Hacker.
Wenn das Ziel darin besteht, den Aufwand für die Entwickler und Benutzer so gering wie möglich zu halten, würde ein Projekt nur die Sicherheitslücke schließen und dem Hacker nichts bringen. Und wenn das Ziel darin besteht, den Schmerz des Hackers zu minimieren, würde ein Projekt den Hacker teilen, ein Schmerzpunkt für die Verantwortlichen.
Ist es möglich, ein faires Ergebnis zu erzielen, das alle glücklich macht?
Tong sagt: „Nein … In den meisten White-Hat-Szenarien gibt es absolut kein Win-Win-Szenario.“
Geld auf dem Tisch liegen gelassen
DarkFi hat in drei Transaktionen (eins, zwei, drei) Gelder an Nomad zurückgegeben VorStani Kulechov, der Gründer der DeFi-Kreditplattform Aave, bot White Hats und Nomad Partytickets an, bevor Nomad „eine Prämie von bis zu 10 % für Nomad Bridge-Hacker ankündigte, wobei Nomad jede Partei in Betracht ziehen wird, die mindestens 90 % der von ihnen gehackten Gesamtgelder zurückgibt ein weißer Rand sein.“
Wenn ein Hacker 1 Million US-Dollar plünderte, 900.000 US-Dollar zurückgab und 100.000 US-Dollar einsteckte, würde Nomad den Hacker als weiße Grenze betrachten und keine rechtlichen Schritte einleiten.
DarkFi hat noch kein rAAVE-Ticket von Kulichov oder eine Belohnung von Nomad erhalten.
Unter Berufung auf die 400-ETH-Prämie von Arbitrum an 0xriptide, nachdem dieser Hacker eine kritische Schwachstelle in Höhe von 400 Millionen US-Dollar gefunden hatte, stellte DarkFi fest, dass die Kopfgelder anfangs nicht hoch genug seien, und sagte, dass Projekte tendenziell geizig seien.
„Es sollte ein sehr gut bezahlter Job sein, ein weißer Rand zu sein“, sagte er.
„Es ist sehr wichtig, deutlicher zu machen, wie wir White Hats im Weltraum schätzen, damit in Zukunft kein Geld für Black Hats auf dem Tisch bleibt“, sagte DarkFi.
Nomad hat bis zum Redaktionsschluss keine Bitte um Stellungnahme beantwortet.
Sam Bankman-Frieds 5-5-Standard
Letzten Monat stellte Sam Bankman-Fried, CEO der Krypto-Börse FTX, einen neuen Gemeinschaftsstandard für Hacker vor, die an einer Sicherheitsverletzung beteiligt sind.
das 5-5 Standard, die den Kunden- und Benutzerschutz „über alles“ schätzt, priorisiert die Wiederherstellung des Kunden, bevor sie einen ethischen Hacker belohnt.
Laut Bankman-Fried funktioniert der Standard nur, wenn der Hacker von Anfang an in gutem Glauben handelt. Um von der Community als „guter Akteur“ oder „White Border“ behandelt zu werden, muss der Hacker mindestens 95 % der gestohlenen Gelder zurückgeben.
„Wenn der 5-5-Standard befolgt worden wäre, hätte er historisch gesehen die Auswirkungen von Hacks um mehr als 98 % reduziert“, sagte Bankman-Fried.
Eine Unze Prävention ist ein Pfund Heilung wert
Die Häufigkeit, mit der White-Hat-Hacker die Ausnutzung eines Protokolls verhindert haben, unterstreicht die Bedenken, dass sich das Web3-Ökosystem zu sehr auf sie verlässt, um kritische Schwachstellen zu finden.
Während White Hats eine wichtige Pflicht in der Sicherheit des Krypto-Ökosystems haben, „ist es absolut nicht in Ordnung, sich auf die White Hats zu verlassen, um Sie zu schützen, denn das ist so etwas wie die letzte Verteidigungslinie“, sagte Tong. „Das ist wie die letzte Rettung, die dich davor bewahrt, gehackt zu werden, denn wenn du ‚whitehatted‘ wirst, ist das schon keine großartige Situation.“
Laut Tong müssen langfristig gründlichere und strengere Entwicklungspraktiken etabliert werden, denn „eine Unze Prävention ist besser als ein Pfund Heilung“.
Die Offenlegung eines White-Hat-Fehlers ist „ein Notfall mit Silberstreif am Horizont. Ihr Geld wurde zurückgegeben, obwohl jemand gehackt hat“, sagte Tong. „Die Erkenntnis ist, dass die Schwachstelle während der Entwicklung hätte erkannt werden müssen. Es hätte bei der Prüfung auffallen müssen. Es sollte nicht in der Bug Bounty gefangen werden.“
