MSTR Cat

暗号資産法/レベル VI · 市場での行為/6.2 インサイダーとラグプル/レッスン 7

報酬、ホワイトハット、交渉による返還

バグバウンティとは何か、ハッキング後の「報酬」提供やホワイトハット保護制度が法的にできることとできないこと、そしてなぜプロトコルでは誰に対しても起訴免除を約束できないのか。

本コースは教育を目的としたものであり、法律・税務・投資に関する助言ではありません。暗号資産に関する法律は国や州によって異なり、頻繁に変わります。行動する前に、お住まいの地域の現行ルールを資格のある弁護士または税理士にご確認ください。

最小コストの道

法律が認める範囲で、最も安く、税負担が最も軽く、最も簡単で、最もプライバシーを守れる方法を、優先順に示します。各ステップには根拠となるルールと、合法であり続けるための条件を記しています。

  1. 開発者：ローンチ前にバグ報奨金（バグバウンティ）および情報開示ポリシーを公開してください。コストはあなたが設定する報奨金の額のみです。米司法省の2022年5月19日付の政策によれば、善意に基づく研究行為はCFAA（コンピュータ詐欺・誤用法）の下で起訴されるべきではありません。ただし、この政策が拘束するのは連邦検察官のみである点に注意してください。
  2. SEAL Whitehat Safe Harborをガバナンスを通じて採用し、ライセンス費用ゼロで安全港（セーフハーバー）の恩恵を得てください：救助者は推奨される報奨金として10%をあなたの資産回収アドレスに送金し、あなたは請求権を放棄します。ただし、政府による措置は対象外であり、紛争解決はSIAC仲裁が既定となります。
  3. エクスプロイト（脆弱性の悪用）が発生した後、オンチェーンでの提案は、あなたのプロトコル自体の請求権のみを解決するものです。Ahmed氏が提案したような警察への沈黙を約束したり、民間主体には与えられない起訴免責を約束したりすることは絶対にしないでください。
  4. 研究者：資金の移動は、あなたを明確にカバーしている書面による権限に基づいてのみ行い、報奨金は収入として申告してください。SEAL要約ではホワイトハット（善意の研究者）が税務上の責任を負うとされています。返還の見返りに支払いや支配権を要求することは、恐喝未遂として起訴される可能性があります。

用意するもの司法省の2022年5月に発表されたコンピュータ詐欺・乱用法に基づく事件の起訴に関する方針SEALホワイトハット・セーフハーバー協定およびその要約（GitHub上のSecurity Alliance）2024年4月に米国検察当局が発表したシャキーブ・アフメドの判決についてレッスン5.3.5（スマートコントラクトの監査）および6.2.6（窃盗としてのハックとエクスプロイト）

問い

  1. もしプロトコルが資金の返還に対してハッカーに「報酬」を支払った場合、そのハッカーは無罪となるのでしょうか？
  2. 誰かがプロトコルの資金を使い果たしている最中に、そこから資金を救出するのは合法ですか？
  3. ハッキング後の交渉が恐喝に変わるのは何か？

探究

  1. 「bounty」という言葉には3つの異なる意味があります。バグ・バウンティとは、誰かが脆弱性を悪用する前に報告した場合に支払われる公報された報酬のことです。ホワイトハット・レスキューとは、セキュリティ研究者が既に攻撃されているコントラクトから資金を移動させて安全に保管する行為です。交渉による返還とは、通常はエクスプロイト後にオンチェーン上で行われる提案で、残りの資金が戻されれば攻撃者が一部を保持できるというものです。法的にはこれらは大きく異なります。最初の2つはプロトコルによって事前に承認される場合がありますが、3番目は既に資金を奪った相手との取引です。
  2. 2021年8月10日に起きたPoly Networkの攻撃がその手口の典型となった。攻撃者はクロスチェーンプロトコルから約6億1000万ドルを持ち出し、その後それを返し始めた。Poly Networkは攻撃者を「ホワイトハット氏」と呼び、交渉の一環として50万ドルの報奨金を提示した一方、Tetherは約3300万ドル分のUSDTを凍結した。8月末までに攻撃者は残りの資金へのアクセス権を返還した。「ホワイトハット」と呼んだのは被害者側の交渉上の選択であり、法的な判断ではなかった。レッスン5.3.5で取り上げられている2023年のEuler Financeの資金回収も同様の経緯をたどった。
  3. アフメド事件は、検察がこのような交渉をどのように見ているかを示している（レッスン6.2.6）。最初のエクスプロイトの後、シャキーブ・アフメドは、取引所がこの攻撃を法執行機関に通報しないことで合意すれば150万ドル以外の全額を返還すると提案した。Nirvana Financeは彼に資金の返還に対して最大60万ドルのバグバウンティを提示したが、彼は140万ドルを要求し、合意には至らず全額を手に入れた。検察は3年の刑を宣告する際、これら2つの出来事について説明した。KyberSwap事件では、検察はAndean Medjedovicが資金の約半分を返還する見返りにプロトコルおよびそのDAOの支配権を要求し、恐喝未遂罪で起訴している。
  4. いかなる攻撃を行う前の研究のために、司法省は2022年5月19日に方針を変更した。連邦検察官には、コンピュータ詐欺・乱用法の下で、単にテストや調査、欠陥の修正を目的とし、害を避けるような方法で行われ、その結果が主にセキュリティ向上に役立てられるような善意のあるセキュリティ研究については起訴しないよう指示されている。この方針では、研究を行っていると主張してもそれが免罪符にはならないこと、所有者から金銭を脅し取る目的で脆弱性を見つけ出すことは善意に基づく行為ではないことが警告されている。この規定は連邦検察官のみに適用され、州や外国政府、民間の原告には適用されない。
  5. 攻撃中の救出活動のため、Security Alliance（SEAL）はガバナンスを通じてプロトコルが採用する「ホワイトハット・セーフハーバー協定」を公開している。この協定は他人によって開始されたアクティブなエクスプロイトのみを対象とし、ホワイトハットは回収した資産をプロトコルが指定する資産回収アドレスに送付しなければならない。SEALは報酬として10%を推奨しているが、プロトコル側がこれを調整または上限を設定することも可能である。ホワイトハットがこの協定に従えば、プロトコルおよびそのユーザーは彼らに対して一切の請求を行わない。要約では、この協定は政府や規制機関による措置を対象とせず、またそうすることもできないと明確に記されている。紛争が生じた場合は、原則としてSIACの規則に基づきシンガポールで仲裁が行われる。
  6. 開発者にとっての実用的な対策は、ローンチ前に開示方針や報奨金ポリシーを公表し、セーフハーバー制度の採用を決定することで、研究者が事前にルールを知るようにすることです。エクスプロイト後のいかなる提案も、プロトコル自体の請求に対する私的な解決策としてのみ機能します。アフメドが提案した警察への沈黙という条件は彼を守ってくれず、返還の代償として支配権や金銭の支払いを要求する行為は、KyberSwap事件のように恐喝未遂と見なされる可能性があります。一方、研究者側も、明確に自分たちをカバーする書面による許可がない限り、資金に手を出してはなりません。SEALの要約では、救出行為に伴って発生するあらゆる税金の責任もホワイトハット側にあるとされています。

重要な事実

  • 2021年8月10日、攻撃者がPoly Networkから約6億1000万ドルを奪いましたが、その後返還しました。交渉の過程でPoly Networkは50万ドルの報酬金を提示しました。
  • 2022年7月の脆弱性悪用事件の後、シャキーブ・アフメドは、取引所がこの攻撃を法執行機関に通報しないことに同意すれば、150万ドルを除く全額を返還すると申し出た。
  • ニルヴァーナ・ファイナンスはアフメドに最大60万ドルのバグ報奨金を提示したが、彼は140万ドルを要求し、その全額を自分のものにした。
  • 2022年5月19日、司法省は、善意のセキュリティ研究はコンピュータ詐欺・乱用法の適用対象とすべきではないと指示した。
  • SEALホワイトハット・セーフハーバー協定は、他人によって開始されたアクティブなエクスプロイトにのみ適用され、報酬として10%が推奨されますが、これは各プロトコルによって調整または上限が設けられる場合があります。
  • SEAL Safe Harborの要約によると、この合意はプロトコル及びその利用者を対象としているが、政府や規制機関の行動までは対象としておらず、また対象にすることもできない。

演習 九・六・三・一

9集める報奨金やセーフハーバーポリシー、または攻撃者への提案においてプロトコルが定める可能性のある項目を9つまで挙げてください（リストによってはもっと短い場合もあります）。例えば、報奨金の割合、期限、返送先アドレスなどです。
6まとめる対象となる内容、支払われる金額、資金の返還方法、期限、法的免除、リスクが生じる可能性のある条件の6つのカテゴリーに分類してください。
3絞り込む6つのカテゴリを3つのグループに分類する：攻撃前に設定される用語、エクスプロイト後にのみ提供される用語、そして民間企業が合法的に約束できない用語。
1結晶化するプロトコルはハッカーに対する自己の請求権を放棄できるものの、ハッカーが起訴されないことを約束することはできない。その理由を自分の言葉で1文で説明してください。

事実確認

日付、数字、主張は、下記に記載された公表資料と照合して確認しました。

インタラクティブ版で開く →

EN PT ES ZH KO RU DE FR MS