Il CEO di Immunefi, Mitchell Amador<\/strong>, ha dichiarato che gli attaccanti della Liquid Network hanno perso qualsiasi pretesa di essere considerati white-hat<\/em> dopo aver trattenuto 598,5 BTC<\/strong>, nonostante avessero restituito 3.400 BTC<\/strong> da un exploit che ha coinvolto circa 4.000 BTC<\/strong>. Amador ha spiegato a crypto.news<\/em> che spostare i fondi degli utenti senza permesso non pu\u00f2 essere considerato un salvataggio, soprattutto quando il ricercatore trattiene parte dei fondi o stabilisce termini di pagamento. <\/p>\n “La divulgazione coordinata finisce nel momento in cui stabilisci tu stesso i termini,” ha affermato Amador. “Il denaro non \u00e8 mai stato tuo da salvare, quindi spostarlo non \u00e8 un salvataggio.”<\/p><\/blockquote>\n I suoi commenti si riferiscono alla controversia scaturita dall’incidente della Liquid Network, in cui attori non identificati hanno ritirato circa 4.000 BTC<\/strong>, valutati circa 320 milioni di dollari<\/strong> all’epoca, prima di definirsi whitehat<\/em>. Dopo che Blockstream ha corretto i nodi del ponte interessati, gli attaccanti hanno restituito 3.400 BTC<\/strong>, ma hanno trattenuto 598,5 BTC<\/strong>. Blockstream ha respinto la richiesta del gruppo per una ricompensa del 10%<\/strong> e ha dichiarato che non pagher\u00e0 per il ritorno del Bitcoin rimanente. L’azienda ha anche contestato la pretesa degli attaccanti che l’operazione fosse una divulgazione responsabile.<\/p>\n Amador ha sottolineato che un ricercatore di sicurezza deve utilizzare canali di divulgazione privati, preferibilmente attraverso un programma di bug bounty<\/em> definito, piuttosto che appropriarsi di beni e negoziare una ricompensa successivamente. <\/p>\n “Tenere un dollaro dei fondi degli utenti \u00e8 furto, qualunque fosse l’intento iniziale. Il percorso per un ricercatore \u00e8 la divulgazione privata, idealmente all’interno di un programma ben definito.”<\/p><\/blockquote>\n Una revisione tecnica dell’exploit ha rivelato che una collisione di chiavi di cache nella logica di verifica delle transazioni riservate ha permesso agli attori di creare L-BTC<\/strong> non garantiti. Hanno poi utilizzato il servizio di peg-out di SideSwap<\/strong> per ottenere Bitcoin reali dalla riserva della federazione. Secondo Blockstream, le chiavi della federazione non sono state compromesse; l’incidente ha coinvolto la logica di verifica nel codice di Elements<\/strong>, mentre i nodi della federazione eseguivano una versione che non conteneva la correzione pertinente.<\/p>\n Amador ha affermato che i protocolli seri dovrebbero stabilire le loro condizioni di salvataggio prima che si verifichi un’emergenza. <\/p>\n “S\u00ec, i termini di salvataggio devono esistere prima di un exploit,” ha detto. “Tutti i protocolli seri dovrebbero stabilirli in anticipo.”<\/p><\/blockquote>\n Gli accordi anticipati forniscono anche ai team di protocollo una base per distinguere l’intervento approvato dalla coercizione. Senza termini precedenti, un attore che controlla i fondi degli utenti pu\u00f2 richiedere un pagamento mentre il progetto affronta perdite, interruzioni del servizio e pressioni da parte dei detentori di token.<\/p>\n Amador ha affermato che la ricompensa dovrebbe generalmente raggiungere fino al 10%<\/strong> dei fondi a rischio, rimanendo soggetta a un limite che il protocollo pu\u00f2 permettersi. Stabilire l’importo troppo basso potrebbe rendere il furto pi\u00f9 attraente della divulgazione, ha detto, mentre un pagamento eccessivo potrebbe lasciare il progetto salvato incapace di continuare a operare. <\/p>\n “Prezzi troppo alti, e il pagamento pu\u00f2 uccidere il protocollo che hai appena salvato, il che non aiuta nessuno,” ha detto.<\/p><\/blockquote>\n Per i ricercatori con sede negli Stati Uniti, restituire fondi o offrire di negoziare non impedisce necessariamente accuse penali quando l’accesso originale era non autorizzato. Nel dicembre 2023, l’ex ingegnere della sicurezza Shakeeb Ahmed<\/strong> si \u00e8 dichiarato colpevole di frode informatica dopo aver sfruttato due scambi decentralizzati e ottenuto oltre 12 milioni di dollari<\/strong>.<\/p>\n","protected":false},"excerpt":{"rendered":" Controversia sulla Liquid Network Il CEO di Immunefi, Mitchell Amador, ha dichiarato che gli attaccanti della Liquid Network hanno perso qualsiasi pretesa di essere considerati white-hat dopo aver trattenuto 598,5 BTC, nonostante avessero restituito 3.400 BTC da un exploit che ha coinvolto circa 4.000 BTC. Amador ha spiegato a crypto.news che spostare i fondi degli utenti senza permesso non pu\u00f2 essere considerato un salvataggio, soprattutto quando il ricercatore trattiene parte dei fondi o stabilisce termini di pagamento. “La divulgazione coordinata finisce nel momento in cui stabilisci tu stesso i termini,” ha affermato Amador. “Il denaro non \u00e8 mai stato tuo<\/p>\n","protected":false},"author":3,"featured_media":18678,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15,64],"tags":[11,971,65,7976,10872,8240],"class_list":["post-18679","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-bitcoin","category-hack","tag-bitcoin","tag-blockstream","tag-hack","tag-immunefi","tag-liquid-network","tag-mitchell-amador"],"yoast_description":"Il CEO di Immunefi, Mitchell Amador, critica gli attaccanti della Liquid Network per aver trattenuto BTC e discute i protocolli appropriati per la divulgazione dei bug e la compensazione delle ricompense.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts\/18679","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/comments?post=18679"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts\/18679\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/media\/18678"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/media?parent=18679"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/categories?post=18679"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/tags?post=18679"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Dettagli dell’incidente<\/h2>\n
Posizione di Blockstream<\/h2>\n
Analisi tecnica dell’exploit<\/h2>\n
Condizioni di salvataggio e ricompense<\/h2>\n
Conclusioni e raccomandazioni<\/h2>\n