MSTR Cat

Kryptorecht/Niveau VI · Marktverhalten/6.2 Insider und Rug Pulls/Lektion 7

Bounties, Whitehats und verhandelte Rückgaben

Was ein Bug-Bounty, ein nach einem Hack angebotenes 'Bounty' und ein Whitehat-Safe-Harbour rechtlich können und was nicht – und warum ein Protokoll niemanden vor einer Strafverfolgung schützen kann.

Bildung statt Rechts-, Steuer- oder Anlageberatung. Das Kryptorecht unterscheidet sich von Land zu Land und von Bundesstaat zu Bundesstaat und ändert sich häufig. Prüfen Sie die an Ihrem Wohnort geltenden Regeln mit einem qualifizierten Anwalt oder Steuerberater, bevor Sie handeln.

Der schlanke Weg

Der günstigste, steuerärmste, einfachste und diskreteste Weg, den das Recht erlaubt – das Beste zuerst. Jeder Schritt nennt die Regel, auf der er beruht, und die Bedingung, unter der er rechtmäßig bleibt.

  1. Entwickler: Veröffentlichen Sie eine Bug-Bounty- und Offenlegungsrichtlinie vor dem Launch; sie kostet nur die Belohnung, die Sie wählen, und die Richtlinie des Justizministeriums vom 19. Mai 2022 besagt, dass gutgläubige Forschung nicht nach dem CFAA angeklagt werden sollte. Haken: Diese Richtlinie bindet nur die Bundesstaatsanwälte.
  2. Übernehmen Sie das SEAL Whitehat Safe Harbor durch Governance ohne Lizenzkosten: Retter senden Mittel an Ihre Asset Recovery Address für eine empfohlene Belohnung von 10 % und Sie verzichten auf Ansprüche. Haken: Es kann keine staatlichen Maßnahmen abdecken, und Streitigkeiten werden standardmäßig der SIAC-Schiedsgerichtsbarkeit unterstellt.
  3. Nach einem Exploit regelt ein on-chain-Angebot nur die eigenen Ansprüche Ihres Protokkols. Bieten Sie niemals Schweigen gegenüber der Polizei an, wie es Ahmed vorschlug, und versprechen Sie niemals Immunität von Strafverfolgung, was keine Privatperson gewähren kann.
  4. Forscher: Bewegen Sie Mittel nur mit einer schriftlichen Vollmacht, die Sie eindeutig abdeckt, und melden Sie jede Belohnung als Einkommen, da die SEAL-Zusammenfassung den Whitehat für Steuern verantwortlich macht. Die Forderung nach Zahlung oder Kontrolle für eine Rückgabe kann als versuchte Erpressung angeklagt werden.

MaterialienDie Richtlinie des Justizministeriums vom Mai 2022 zur Anklageerhebung nach dem Computer Fraud and Abuse ActDas SEAL Whitehat Safe Harbor Agreement und dessen Zusammenfassung (Security Alliance, auf GitHub)Die Pressemitteilung der US Attorney's Office vom April 2024 zum Urteil gegen Shakeeb AhmedLektion 5.3.5 (Smart-Contract-Audits) und Lektion 6.2.6 (Hacks und Exploits als Diebstahl)

Neugier

  1. Wenn ein Protokoll einem Hacker ein 'Bounty' zahlt, damit er die Mittel zurückgibt – ist der Hacker dann straffrei?
  2. Ist es legal, Mittel aus einem Protokkol zu retten, während jemand anderes sie abzieht?
  3. Was macht eine Verhandlung nach einem Hack zur Erpressung?

Erkunden

  1. Drei verschiedene Dinge teilen sich das Wort 'Bounty'. Ein Bug-Bounty ist eine veröffentlichte Belohnung für die Meldung einer Schwachstelle, bevor sie von jemandem ausgenutzt wird. Eine Whitehat-Rettung liegt vor, wenn ein Sicherheitsforscher Mittel aus einem bereits angegriffenen Vertrag abzieht, um sie zu sichern. Eine verhandelte Rückgabe ist ein Angebot, das meist on-chain nach einer Ausnutzung gemacht wird und dem Angreifer erlaubt, einen Anteil zu behalten, wenn der Rest zurückkommt. Rechtlich unterscheiden sich diese drei Dinge erheblich. Die ersten beiden können im Voraus vom Protokkol autorisiert werden; die dritte ist eine Einigung mit jemandem, der das Geld bereits genommen hat.
  2. Der Poly-Network-Exploit vom 10. August 2021 legte den Maßstab an. Ein Angreifer zog etwa 610 Millionen US-Dollar aus dem Cross-Chain-Protokoll ab und begann dann, sie zurückzugeben. Das Poly Network nannte den Angreifer 'Mr. White Hat' und bot im Rahmen der Verhandlungen ein Bounty von 500.000 US-Dollar an, während Tether etwa 33 Millionen USDT einfroren. Ende August hatte der Angreifer den Zugriff auf die verbleibenden Mittel zurückgegeben. Die Bezeichnung des Angreifers als 'White Hat' war eine Verhandlungsoption des Opfers und keine rechtliche Feststellung. Die Wiedererlangung von Mitteln durch Euler Finance im Jahr 2023, behandelt in Lektion 5.3.5, folgte einem ähnlichen Weg.
  3. Der Ahmed-Fall zeigt, wie Staatsanwälte ein solches Feilschen betrachten (Lektion 6.2.6). Nach seinem ersten Exploit bot Shakeeb Ahmed an, alles außer 1,5 Millionen US-Dollar zurückzugeben, wenn die Börse zustimmte, den Angriff nicht an die Strafverfolgungsbehörden zu übergeben. Die Nirvana Finance bot ihm ein Bug-Bounty von bis zu 600.000 US-Dollar für die Rückgabe der Mittel; er forderte 1,4 Millionen US-Dollar, es kam keine Einigung zustande und er behielt alles. Die Staatsanwälte beschrieben beide Episoden bei der Verkündung seiner dreijährigen Haftstrafe. Im KyberSwap-Fall werfen die Staatsanwälte Andean Medjedovic vor, die Kontrolle über das Protokoll und dessen DAO als Gegenleistung für die Rückgabe von etwa der Hälfte gefordert zu haben, woraufhin sie versuchte Erpressung anklagten.
  4. Für Recherchen vor einem Angriff änderte das Justizministerium am 19. Mai 2022 seine Richtlinie. Bundesstaatsanwälte werden angewiesen, gutgläubige Sicherheitsforschung nicht nach dem Computer Fraud and Abuse Act anzuklagen, was den Zugriff ausschließlich zum Testen, Untersuchen oder Beheben eines Fehlers bedeutet, durchgeführt auf eine Weise, die darauf ausgelegt ist, Schäden zu vermeiden, wobei die Ergebnisse hauptsächlich zur Verbesserung der Sicherheit verwendet werden. Die Richtlinie warnt davor, dass das Behaupten, Forschung zu betreiben, kein Freibrief ist: Das Finden von Schwachstellen mit dem Ziel, deren Eigentümer zu erpressen, ist keine gutgläubige Handlung. Sie bindet nur die Bundesstaatsanwälte, nicht aber die Bundesstaaten, ausländischen Regierungen oder private Kläger.
  5. Für Rettungsaktionen während eines Angriffs veröffentlicht die Security Alliance (SEAL) ein Whitehat Safe Harbor Agreement, das Protokolle durch Governance übernehmen. Es deckt nur aktive Exploits ab, die von jemand anderem gestartet wurden; der Whitehat muss die wiedererlangten Vermögenswerte an die vom Protokoll benannte Asset Recovery Address senden. Die SEAL empfiehlt eine Belohnung von 10 %, die ein Protokoll anpassen oder begrenzen kann. Wenn der Whitehat dies befolgt, verzichten das Protokoll und seine Nutzer auf Ansprüche gegen ihn. Die Zusammenfassung stellt ausdrücklich klar, dass die Vereinbarung keine staatlichen oder regulatorischen Maßnahmen abdeckt und auch nicht abdecken kann. Streitigkeiten werden zur Schiedsgerichtsbarkeit vorgelegt, standardmäßig in Singapur nach SIAC-Regeln.
  6. Für Entwickler ist ein praktischer Check, eine Offenlegungs- und Bounty-Richtlinie vor dem Launch zu veröffentlichen und zu entscheiden, ob man einen Safe Harbour übernimmt, damit Forscher die Regeln im Voraus kennen. Nach einem Exploit wirkt jedes Angebot nur als private Einigung über die eigenen Ansprüche des Protokkols. Die von Ahmed vorgeschlagene Bedingung – Schweigen gegenüber der Polizei – hat ihn nicht geschützt, und die Forderung nach Kontrolle oder Zahlung als Preis für eine Rückgabe kann als versuchte Erpressung angeklagt werden, wie im KyberSwap-Fall. Forscher sollten ihrerseits keine Mittel antasten, ohne eine schriftliche Vollmacht zu haben, die sie eindeutig abdeckt. Die SEAL-Zusammenfassung macht den Whitehat auch für alle Steuern verantwortlich, die durch die Rettungsaktion entstehen.

Kernfakten

  • Am 10. August 2021 nahm ein Angreifer etwa 610 Millionen US-Dollar vom Poly Network und gab sie später zurück; während der Verhandlungen bot das Poly Network ein Bounty von 500.000 US-Dollar an.
  • Nach einem Exploit im Juli 2022 bot Shakeeb Ahmed an, alles außer 1,5 Millionen US-Dollar zurückzugeben, wenn die Kryptobörse zustimmte, den Angriff nicht an die Strafverfolgungsbehörden zu übergeben.
  • Die Nirvana Finance bot Ahmed ein Bug-Bounty von bis zu 600.000 US-Dollar; er forderte 1,4 Millionen US-Dollar und behielt alle Mittel.
  • Am 19. Mai 2022 wies das Justizministerium an, dass gutgläubige Sicherheitsforschung nicht nach dem Computer Fraud and Abuse Act angeklagt werden sollte.
  • Das SEAL Whitehat Safe Harbor Agreement gilt nur für aktive Exploits, die von jemand anderem gestartet wurden, und empfiehlt eine Belohnung von 10 %, die Protokolle anpassen oder begrenzen können.
  • Die Zusammenfassung des SEAL Safe Harbour stellt fest, dass die Vereinbarung das Protokoll und seine Nutzer abdeckt, aber nicht die Handlungen staatlicher oder regulatorischer Stellen abdecken kann.

Übung neun, sechs, drei, eins

9SammelnNennen Sie bis zu 9 Bedingungen, die ein Protokoll in einer Bounty- oder Safe-Harbour-Richtlinie oder in einem Angebot an einen Angreifer festlegen könnte (manche Listen sind kürzer), wie z. B. eine Belohnungsquote, eine Frist oder eine Rückgabe-Adresse.
6GruppierenOrdnen Sie sie in 6 Kategorien ein: Was abgedeckt ist, wie viel gezahlt wird, wie die Mittel zurückgegeben werden, Fristen, rechtliche Verzichtserklärungen und Bedingungen, die riskant sein könnten.
3VerdichtenReduzieren Sie die 6 Kategorien auf 3 Gruppen: Bedingungen, die vor einem Angriff festgelegt werden, Bedingungen, die nur nach einer Ausnutzung angeboten werden, und Bedingungen, die eine Privatperson nicht rechtmäßig zusichern kann.
1KristallisierenFormulieren Sie in einem Satz mit Ihren eigenen Worten, warum ein Protokoll zwar auf seine eigenen Ansprüche gegen einen Hacker verzichten kann, aber nicht zusichern kann, dass der Hacker nicht strafrechtlich verfolgt wird.

Faktcheck

Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.

In der interaktiven Akademie öffnen →

EN PT ES ZH JA KO RU FR MS