Derecho cripto/Nivel VI · Conducta de mercado/6.2 Información privilegiada y rug pulls/Lección 7

Recompensas, sombreros blancos y devoluciones negociadas

Qué recompensa por errores de seguridad: qué puede y qué no puede hacer legalmente una oferta de “recompensa” posterior a un hackeo y un refugio seguro para los hackers éticos, y por qué un protocolo no puede prometer a nadie inmunidad contra procesos judiciales.

Esto es educación, no asesoramiento legal, fiscal ni de inversión. El derecho cripto varía entre países y estados, y cambia con frecuencia. Antes de actuar, verifica las normas vigentes donde vives con un abogado o asesor fiscal calificado.

La vía ligera

La ruta más barata, con menos impuestos, más sencilla y más privada que permite la ley, de mejor a peor. Cada paso indica la norma en que se apoya y la condición que la mantiene dentro de la ley.

Desarrolladores: publiquen una política de recompensas por errores (bug-bounty) y divulgación antes del lanzamiento; solo les cuesta la recompensa que elijan, y la política del Departamento de Justicia del 19 de mayo de 2022 establece que la investigación de buena fe no debe ser acusada bajo la CFAA. Ojo: esa política solo vincula a los fiscales federales.
Adopten el SEAL Whitehat Safe Harbor mediante gobernanza, sin costo de licencia: los rescatadores envían fondos a su dirección de recuperación de activos (Asset Recovery Address) por una recompensa recomendada del 10 % y ustedes renuncian a sus reclamos. Ojo: no puede cubrir acciones gubernamentales, y las disputas se someten por defecto a arbitraje ante el SIAC.
Tras un exploit, una oferta en cadena solo resuelve los reclamos propios de su protocolo. Nunca ofrezcan silencio hacia la policía, como propuso Ahmed, ni prometan inmunidad procesal, algo que ninguna parte privada puede otorgar.
Investigadores: muevan fondos únicamente con autorización por escrito que los cubra claramente y reporten cualquier recompensa como ingreso, ya que el resumen de SEAL hace responsable al whitehat de los impuestos. Exigir pago o control a cambio de la devolución puede ser acusado como intento de extorsión.

MaterialesLa política del Departamento de Justicia de mayo de 2022 sobre la presentación de cargos bajo la Ley de Fraude y Abuso InformáticoEl Acuerdo de Puerto Seguro SEAL Whitehat y su resumen (Security Alliance, en GitHub)El comunicado del fiscal de los EE. UU. de abril de 2024 sobre la sentencia de Shakeeb AhmedLecciones 5.3.5 (auditorías de contratos inteligentes) y 6.2.6 (ataques y explotaciones como robo)

Curiosidad

Si un protocolo paga a un hacker una “recompensa” para que devuelva los fondos, ¿está entonces el hacker exento de responsabilidad?
¿Es legal rescatar fondos de un protocolo mientras otra persona los está agotando?
¿Qué hace que una negociación después de un hackeo se convierta en extorsión?

Explorar

Tres cosas diferentes comparten la palabra ‘bounty’. Una recompensa por vulnerabilidades es una retribución publicada para quien informe sobre una vulnerabilidad antes de que alguien la explote. Un rescate de tipo “whitehat” ocurre cuando un investigador de seguridad retira fondos de un contrato que ya está siendo atacado, con el fin de protegerlos. Una devolución negociada es una oferta, generalmente hecha en la cadena después de un ataque, que permite al atacante conservar una parte si el resto es devuelto. Legalmente, difieren significativamente: las dos primeras pueden ser autorizadas con antelación por el protocolo; la tercera es un acuerdo con alguien que ya ha tomado el dinero.
La explotación de Poly Network del 10 de agosto de 2021 sentó el patrón a seguir. Un atacante sacó alrededor de 610 millones de dólares del protocolo cross-chain y luego comenzó a devolverlos. Poly Network llamó al atacante “Sr. Sombrero Blanco” y ofreció una recompensa de 500,000 dólares como parte de las negociaciones, mientras que Tether congeló unos 33 millones de USDT. A finales de agosto, el atacante devolvió el acceso a los fondos restantes. Llamar al atacante “sombrero blanco” fue una decisión de negociación por parte de la víctima, no un dictamen legal. La recuperación de Euler Finance en 2023, abordada en la lección 5.3.5, siguió un camino similar.
El caso de Ahmed muestra cómo ven los fiscales este tipo de acuerdos (lección 6.2.6). Tras su primer ataque, Shakeeb Ahmed ofreció devolver todo menos 1,5 millones de dólares si la plataforma accedía a no denunciar el incidente a las autoridades. Nirvana Finance le ofreció una recompensa de hasta 600.000 dólares para que devolviera sus fondos; él exigió 1,4 millones, no se llegó a un acuerdo y se quedó con todo. Los fiscales describieron ambos episodios al anunciar su sentencia de tres años. En el caso KyberSwap, los fiscales afirman que Andean Medjedovic exigió el control del protocolo y de su DAO a cambio de devolver aproximadamente la mitad de los fondos, y fueron acusados de intento de extorsión.
Para la realización de investigaciones antes de cualquier ataque, el Departamento de Justicia modificó su política el 19 de mayo de 2022. Se instruye a los fiscales federales a no formular cargos por investigaciones de seguridad realizadas de buena fe en virtud de la Ley de Fraude y Abuso Informático, es decir, aquel acceso cuyo único propósito es probar, investigar o corregir una falla, realizado de manera que se evite causar daño, y cuyos resultados se utilicen principalmente para mejorar la seguridad. La política advierte que alegar que se está realizando investigación no constituye un permiso ilimitado: encontrar vulnerabilidades con el fin de extorsionar a sus propietarios no se considera actuar de buena fe. Esta normativa solo vincula a los fiscales federales, y no a los estados, gobiernos extranjeros ni demandantes privados.
Para las operaciones de rescate durante un ataque, la Security Alliance (SEAL) publica un Acuerdo Whitehat Safe Harbor cuyos protocolos se adoptan a través de mecanismos de gobernanza. Este acuerdo solo cubre los ataques activos iniciados por terceros; el “whitehat” debe enviar los activos recuperados a la dirección designada para la recuperación de activos del protocolo. SEAL recomienda una recompensa del 10%, cantidad que un protocolo puede ajustar o limitar. Si el “whitehat” cumple con las condiciones, el protocolo y sus usuarios renuncian a cualquier reclamo en su contra. En el resumen se indica claramente que el acuerdo no cubre ni puede cubrir acciones gubernamentales o regulatorias. Las disputas se resuelven mediante arbitraje, por defecto en Singapur, bajo las reglas de SIAC.
Para los desarrolladores, una verificación práctica es publicar una política de divulgación y recompensas antes del lanzamiento y decidir si adoptar un mecanismo de protección, para que los investigadores conozcan las reglas por adelantado. Después de un exploit, cualquier oferta solo sirve como acuerdo privado para resolver las reclamaciones del propio protocolo. La condición propuesta por Ahmed, el silencio ante la policía, no lo protegió, y exigir control o pago a cambio de una devolución puede considerarse intento de extorsión, como en el caso de KyberSwap. Por su parte, los investigadores no deben tocar los fondos sin autorización por escrito que los ampare claramente. El resumen de SEAL también responsabiliza al “whitehat” por cualquier impuesto que genere la recuperación de dichos fondos.

Datos clave

El 10 de agosto de 2021, un atacante sustruyó unos 610 millones de dólares de Poly Network y posteriormente los devolvió; durante las negociaciones, Poly Network ofreció una recompensa de 500,000 dólares.
Tras un ataque en julio de 2022, Shakeeb Ahmed se ofreció a devolver todo menos 1,5 millones de dólares si la plataforma accedía a no denunciar el ataque a las autoridades.
Nirvana Finance le ofreció a Ahmed una recompensa por hallazgos de errores de hasta 600,000 dólares; él exigió 1.4 millones y se quedó con todos los fondos.
El 19 de mayo de 2022, el Departamento de Justicia dispuso que la investigación en materia de seguridad realizada de buena fe no debía ser sancionada bajo la Ley de Fraude y Abuso Informático.
El Acuerdo de Puerto Seguro SEAL Whitehat solo se aplica a exploits activos iniciados por otra persona y recomienda una recompensa del 10%, la cual los protocolos pueden ajustar o limitar.
El resumen de SEAL Safe Harbor indica que el acuerdo abarca el protocolo y sus usuarios, pero no cubre ni puede cubrir las acciones de los gobiernos o entidades reguladoras.

Ejercicio nueve, seis, tres, uno

9ReunirEnumere hasta 9 términos que un protocolo podría establecer en una política de recompensas o refugio seguro, o en una oferta dirigida a un atacante (algunas listas son más cortas), como un porcentaje de recompensa, una fecha límite o una dirección de retorno.

6AgruparClásifíquelas en 6 categorías: qué está cubierto, cuánto se paga, cómo se devuelven los fondos, plazos, exenciones legales y condiciones que podrían ser riesgosas.

3DestilarReduzca las 6 categorías a 3 grupos: términos establecidos antes de cualquier ataque, términos ofrecidos solo después de una explotación, y términos que ninguna parte privada puede prometer legalmente.

1CristalizarUn protocolo puede renunciar a sus propias reclamaciones contra un hacker por voluntad propia, pero no puede garantizar que este no será perseguido legalmente.

Verificación de hechos

Fechas, cifras y afirmaciones verificadas con las fuentes publicadas que se enumeran a continuación.

Abrir en la academia interactiva →

EN PT ZH JA KO RU DE FR MS