白帽救援的兩難選擇：僅通知項目方還是直接轉移資產？_Illuvium

原文標題：《MeettheVigilantesWhoHackMillionsinCryptotoSaveItFromThieves》

原文作者：LorenzoFranceschi-Bicchierai

原文編譯：郭倩雯，鏈捕手

3月9日清晨，LP仍在睡夢中，突然開始收到Telegram的電話。據她說，這絕不是一個好兆頭。她穿著系扣睡衣，拉開臥室窗簾，從毯子中扯出筆記本電腦，戴上隱形眼鏡。現在是時候去拯救別人的加密貨幣了——先黑掉他們。

LP是一位擁有博士學位的工程師，曾在硅谷一家律師事務所工作，目前是網絡安全公司RugDoc和PaladinBlockchainSecurity的創始人，為保護隱私她不愿使用真實姓名。她想讓大家知道，加密貨幣不僅意味著“住滿好人的地下室”這樣的場景。

打電話的是她的一個同事，他告訴她有人對一個叫Fantasm的加密貨幣協議的投資者進行攻擊，當時該協議有數百萬美元的流動性資金已被投資者鎖定。

等她清醒過來，打開筆記本電腦，就開始與兩位同事合作，試圖擊敗黑客，盡可能多地挽救加密貨幣。在加密貨幣的世界里，由于區塊鏈具有不可逆性，被盜的資金通常會永遠消失，要拯救資金意味著需要先于竊賊進行黑客攻擊。

Hashflow在攻擊事件中損失約60萬美元，派盾稱或為白帽黑客所為:6月15日消息，據派盾監測，去中心化交易平臺Hashflow存在一個與批準相關的問題，并因此遭到攻擊，不過這可能是一起白帽黑客行動。另據0xScope監測，盜竊合約的創建者在交易中留下了一條信息，在恢復使用前，請先撤銷。你的資金不安全。

Hashflow隨后發推表示，本次被盜事件的損失約為60萬美元，所有受影響用戶都能夠取回全部資產，而Hashflow DEX沒有受到影響，仍然保持正常運行。Hashflow發布了資產恢復指南，以便受影響用戶恢復資產，并提醒他們必須先撤銷批準才能收回資金。而沒有受到影響但在去年5月3日前使用過Hashflow的用戶，也需要盡快撤銷已棄用合約的任何授權。[2023/6/15 21:38:30]

LP說：“這些搶錢的人能找到非常容易的方法來利用漏洞，然后突然間，數百萬的美元就被盜走了。”

與黑客的競賽開始了。LP的同事已經發現了黑客正在利用的漏洞，在他的幫助下，LP寫了一系列智能合約，為的是先黑客一步利用該漏洞。

“好吧，我們救了你們一命，你們應該給我們點東西。”

由于區塊鏈上行動公開，黑客事件很快愈演愈烈。LP和同事的白帽行動幾經波折，被記錄在區塊鏈上，黑客也能注意到他們的活動。這時，其他投機的黑客看到了正在發生的事態，甚至也開始借機大賺一筆。但最終，LP和她的兩位同事成功挽救數萬美元，并幫助該項目修復漏洞，阻止了黑客的攻擊。然而，據LP說，黑客仍然凈賺大約800個ETH，截至目前價值約150萬美元。

Illuvium組建安全團隊并聘請Quantstamp、PeckShield和白帽Samczun完成額外審計:3月24日消息，RPG鏈游Illuvium表示正在組建安全團隊、突發事件響應團隊以及建立相關安全流程，其中安全團隊負責人為核心貢獻者Cag，Cag此前任職于Mozilla和Atlassian。另外，Illuvium還與外部網絡安全平臺Zerofox建立了合作關系，以避免網絡釣魚攻擊、假冒域名和數據泄露等惡意行動，打擊偽裝成Illuvium或Illuvium相關的網絡釣魚網站和社交賬戶。Illuvium還為其智能合約進行了額外審計，包括Quantstamp、PeckShield和白帽Samczun，還將通過Immunefi啟動漏洞賞金計劃。去年12月底，Illuvium的Discord遭到入侵，大約41個錢包的15萬美元資產被盜，今年1月份，Illuvium在其質押合約發現漏洞，導致攻擊者鑄造了無限量的sILV，之后該漏洞在StakingV2合約中得以修復。[2022/3/24 14:15:55]

“很多人都遭遇了損失，這不是最好的結局，但它也沒有發展至不可挽回的狀態。”LP說。

據LP說，整個操作持續了大概半個小時。

Multichain黑客事件也是一例。我們無法確定這些案例中的黑客是否從始至終都是頭戴白帽，也許他們在盜竊之后改變了想法，畢竟這些資金放在他們的加密錢包里，舉世矚目，壓力倍增。

Immunefi：白帽黑客發現Polygon智能合約中PoS系統漏洞:2月21日消息，Immunefi 今日發布了一份關于Polygon共識機制的漏洞報告。報告顯示，1月15日， 白帽Niv Yehezkel在 Polygon 在以太坊上的智能合約中的權益證明 (PoS) 系統中發現了一個漏洞，這將允許攻擊者降低總權益，從而允許繞過共識，這可能會導致攻擊者流失來自存款經理的所有資金，進行無限制的提款，DoS等等。

由于漏洞利用的復雜性，該漏洞的嚴重性級別為 75,000 美元。 攻擊者要利用此漏洞，必須滿足特定的市場條件。例如，驗證者點必須是開放的，并且資本要求很高。使用 flashbots 直接支付給礦工留在驗證者位置的金額也很高。此外，Polygon 網絡的檢查點時間每 30-45 分鐘發生一次，攻擊者需要長時間維護驗證者位置，從而由??于時間要求增加了攻擊成本。[2022/2/21 10:06:16]

也有像LP這樣的“白帽黑客”，他們猛烈發起攻擊，挽救資金，常常與邪惡的黑客賽跑，有時未經目標錢包或加密貨幣協議用戶的同意。這些黑客始終持有的意圖是將資金返還給其合法所有者。

這個詞首次在這種語境下流行也許是在2016年，當時自稱羅賓漢小組的志愿者程序員與從DAO中竊取數百萬美元ETH的黑客展開競賽，DAO是當時加密貨幣領域最有前景的組織之一。當時，該組織擊敗黑客，拯救了大約1500萬美元的ETH，這一事件被廣泛稱為“白帽黑客事件”。第二年，這個團體，現在自稱為白帽集團，在以太坊客戶Parity被黑之后，挽救了2億美元的加密貨幣。

美國國務院向白帽黑客提供高達1000萬美元的加密獎勵:8月17日消息，美國正在提供加密貨幣資產，以激勵白帽黑客在暗網中發現國家支持的行為者和潛在的恐怖分子。美國國務院新的 \"正義的獎賞 \"平臺允許舉報人提交匿名的線索和信息，以換取數字資產的獎賞。該平臺在7月31日至8月5日在拉斯維加斯舉行的美國黑帽活動中得到了推廣，用戶可以通過一個名為#Rewardsnotransoms的不安全Wi-Fi網絡提交線索。據CNN報道，這個開放的網絡是特意設置的，以鼓勵與會者登錄并訪問RFJ網站。為了交換關于各種恐怖嫌疑人、極端分子和國家支持的黑客的信息，正在提供高達1000萬美元的獎賞。舉報人可以選擇是否希望以加密貨幣資產的形式獲得補償。美國國家反間諜和安全中心前主任William Evanina將這一舉措描述為美國政府有史以來對加密貨幣資產的最公開的嘗試。（cointelegraph）[2021/8/17 22:18:43]

近來，伴隨著針對加密貨幣協議和用戶的黑客攻擊，這種做法變得更加頻繁。根據區塊鏈網絡安全公司Immunefi的報告，就在今年前三個月，黑客和騙子已經盜取了大約12.3億美元的加密貨幣。

Motherboard采訪了包括LP在內的五個人，他們稱有參與這種白帽活動的直接經驗。

Poly Network已修復導致keeper地址被修改為白帽黑客指定地址的跨鏈合約約漏洞:Poly Network表示，已修復導致keeper地址被修改為白帽黑客指定地址的跨鏈合約約漏洞，修復方法為對外部調用的合約及方法名做了白名單限制。[2021/8/15 22:15:42]

區塊鏈安全公司Zellic的聯合創始人StephenTong在一次在線聊天中告訴Motherboard，“在Web3中，白帽黑客被視為英雄而受到追捧。這絕對是一個雙贏的局面。人們認可這一行為，因為如果我不做，那么還有誰會去做？至少我比一些黑帽子好。這就是我們的心態。”

白帽黑客在未經同意下竊取他人錢包或協議，這一行為在法律上是否正當尚不明晰。

研究加密貨幣問題的律師PrestonByrne在一封電子郵件中告訴Motherboard：“白帽黑客雖然高貴，但若沒有行動目標的同意，這一活動還是充滿風險。披露漏洞是一回事，無論出于何種原因侵犯第三方資金所有者的權利是另一回事，如果目標人物因一些原因對黑客行為不滿，黑客可能要承擔民事和刑事責任。”

最終結果可能取決于未經同意下被白帽黑客取走加密貨幣的組織或個人的想法。

Preston說：“白帽/灰帽黑客的問題是，有的活動目標可能會感謝他們告知漏洞，但有的人則可能會大發雷霆，打電話給警察。當白帽黑客發現智能合約系統中的漏洞時，最好的辦法是私下通知開發人員，然后就這樣了——你不是超人，拯救世界不是你的責任。”

白帽黑客的做法涉及從用戶甚至是黑客的錢包中獲取加密貨幣，這可以與有爭議的反擊黑客概念相比較。在網絡安全領域，反擊黑客基本指的是數據泄露的受害者試圖自行恢復被盜文件，收集黑客的行蹤和身份信息——以進行黑客攻擊。盡管這一行為充滿爭議，但對黑客的反擊的確存在，但鑒于法律風險，是秘密進行的。

一些加密貨幣世界中的白帽活動參與者試圖避免被起訴的風險。

EmilianoBonassi是一名區塊鏈網絡安全研究員，他也參與了幾次白帽行動。在去年的一個案例中，加密貨幣投資平臺PrimitiveFinance用戶的錢包被暴露，任何一個會利用漏洞的人都能進行訪問。

“我們能夠拯救該協議用戶的唯一方法是把他們錢包里的資金抽走，然后通知他們。所以這是你可能遇到的最糟糕的情況，因為你基本上要抽走用戶的資金。”Bonassi在電話中告訴Motherboard。

Bonassi與Immunefi創始人MitchellAmador以及加密貨幣網絡安全公司Dedaub的研究人員一同工作，都是本案的中間人。最重要的是，根據白帽黑客的事后調查，PrimitiveFinance公司的員工從一開始也參與了救援。

與LP不同的是，Bonassi和他的同事沒有使用自己的錢包來保存資金，只是向協議開發者展示了如何進行白帽攻擊。

“我們向他們演示如何執行，我們開發了執行腳本，做了模擬，然后和他們說，我們支持你，你執行吧。如果一切出錯，我們會采取行動。”

一些區塊鏈網絡安全研究人員充分意識到風險存在——使用自己錢包，且未經錢包所有者或協議構建者的同意就對有漏洞的錢包進行攻擊，這些行為是充滿風險的。

一位網絡安全研究人員在接受Motherboard采訪時要求匿名，正是因為在拯救他人加密貨幣時使用錢包是有風險的，他說過去他在一些情況下這樣做過。

“這挺讓人擔心的，所以也許我也不該拋頭露面。現在整個行業都有點緊張，這也是為什么我不再積極參與這些活動了。”該研究人員在電話中告訴Motherboard。

另一些人則是完全不使用自己的錢包。

“我的個人原則是，我永遠不會獨自發送交易。我也絕對不會托管他人資金。Samczsun是在加密貨幣投資公司Paradigm工作的安全研究員，他在電話中告訴Motherboar，“我的原則是我提供給你所需的一切信息，讓你盡快掌握情況，然后把決定留給你做。我自己不會介入并強行接管整件事，如果你想讓我幫忙，我就會幫忙。如果你愿意自己處理這個問題，那我很樂意站到一邊，讓你來處理。”

“對我個人來說，如果要暫時地獲得并處置九位數的資產，這樣的事件我是不太愿意調查的。”Samczsun曾參與過幾個白帽黑客活動，拯救了數百萬的加密貨幣。“所以如果可以的話，我會完全避免這種情況。我不確定《好撒瑪利亞人法》是否也適用于區塊鏈，這一法律鼓勵人們在緊急情況下幫助處于危險或困境的人，而不必擔心如果他們無意中造成傷害或死亡而被起訴。”

Preston認為Samczsun的做法是正確的，因為《計算機欺詐和濫用法》會對造成損失的行為進行處罰，如從某人的錢包中拿走加密貨幣，即使這不是欺詐。

“如果你決定自己獨自處理，那為了避免受到懷疑，你也絕對不應這樣做。這是在玩火，記住，你有可能會引起檢察官的注意。”Preston說。

“我們能夠拯救該協議用戶的唯一方法是將資金從他們的錢包中抽走。”

在Chainalysis上個月組織的一次會議上，紐約縣地區檢察官辦公室的網絡犯罪和身份盜竊局局長ElizabethRoper說，白帽黑客是法律上“真正的灰色地帶”，它可能是檢察官可能想要關注的領域。

Roper?說：“如果它最終拯救了平臺上的每個用戶和大量資金，而且做這件事的人立即公開了事件，也許我們不會使用資源來起訴它。但還是要重申，這需要根據具體案例討論。”

被問到是否會擔心遭來無妄之災時，LP說通常她參與的加密貨幣項目規模較小，甚至不在美國境內，所以她做了風險評估，認為提供幫助也不會面臨控訴風險。

LP說，“遭到控訴是不太可能的，但是我卻非常可能挽救他人資金，確保他們不會完全破產，那對他們來說會是非常糟糕的日子。”

對白帽黑客來說，一個更可能的結果是他們為造成的“麻煩”獲得獎勵。Fantasm案件并不是LP和她在RugDoc的團隊唯一的一次挽救行動。在那個案例中，他們并沒有要求獎勵。但在其他時候，他們有所要求。

“如果是一個大型、臭名昭著的項目，它們還有剩余資金，我們就會說。‘好吧，我們剛剛在這里救了你們一命，你們應該給我們一些東西。’”LP說。

Bonassi說，若官方沒有漏洞賞金，通常的標準獎勵是本會被盜資金的10%。但他過去也在沒有任何補償的情況下參與過白帽攻擊，這是因為他想要幫助被涉及的加密貨幣項目，更是想要為整個生態系統獻一份力。

白帽黑客行動對Bonassi來說不僅是為了阻止潛在的黑客，它也是一個人人都可參與的學習機會。

獎勵越大，研究人員就越受到鼓舞，愿意去尋找和報告漏洞。

他說，“我們最初懸賞1萬，然后是10萬。現在我們有100萬、1000萬的漏洞賞金。可能在明年，我們將看到數億、數十億的獎金。因為Web3和其他行業不同，在這里黑客攻擊在短短幾秒內轉瞬發生，卻可獲利無限。因此，我們需要推舉大型激勵措施，保證系統安全。"

Tags：加密貨幣Illuvium區塊鏈VIU加密貨幣市場行情走勢分析illuvium幣價格區塊鏈最新應用viu幣跑路了嗎

MEXC