MSTR Cat

가상자산법/레벨 VI · 시장 행위/6.2 내부자와 러그풀/수업 7

보상금, 화이트햇, 협상을 통한 반환

버그 바운티, 해킹 이후 제시되는 ‘보상금’ 제안, 그리고 화이트햇 세이프 하버가 법적으로 할 수 있는 것과 없는 것, 그리고 왜 어떤 프로토콜도 누구에게든 기소 면제를 약속할 수 없는지.

교육 목적이며 법률, 세무 또는 투자 자문이 아닙니다. 가상자산 관련 법은 국가와 주(州)마다 다르며 자주 바뀝니다. 행동하기 전에 거주지의 현행 규정을 자격을 갖춘 변호사나 세무사에게 확인하세요.

가장 가벼운 길

법이 허용하는 범위에서 가장 저렴하고, 세금이 가장 적고, 가장 간단하며, 가장 사적인 방법을 우선순위대로 정리했습니다. 각 단계마다 근거가 되는 규정과 합법성을 유지하는 조건을 밝힙니다.

  1. 개발자: 출시 전에 버그 바운티 및 공개 정책을 게시하십시오. 이는 귀하가 선택한 보상 비용만 들며, 미국 법무부의 2022년 5월 19일 정책에 따르면 선의의 연구는 CFAA(컴퓨터 사기 및 남용법)에 따라 기소되지 않아야 합니다. 단서: 해당 정책은 연방 검사의 구속력만 가집니다.
  2. 라이선스 비용 없이 거버넌스를 통해 SEAL 화이트햇 안전지대를 채택하십시오: 구제자는 권장되는 10%의 보상을 위해 귀하의 자산 회수 주소로 자금을 보내고, 귀하는 청구권을 포기합니다. 단서: 이는 정부 조치에 적용될 수 없으며, 분쟁은 기본적으로 SIAC 중재로 처리됩니다.
  3. 착취 발생 후 온체인 제안은 오직 귀하의 프로토콜 자체의 청구권만 해결합니다. Ahmed가 제안한 것처럼 경찰에게 침묵을 요구하거나, 사적 주체가 부여할 수 없는 형사 기소 면제를 약속하는 일은 절대 하지 마십시오.
  4. 연구자: 귀하를 명확히 포함하는 서면 위임장 없이는 자금을 이동하지 말고, SEAL 요약에 따라 화이트햇이 세금 납부의 책임이 있으므로 모든 보상을 소득으로 신고하십시오. 반환을 대가로 지급 또는 통제를 요구하는 행위는 미수 공갈로 기소될 수 있습니다.

준비물법무부의 2022년 5월 컴퓨터 사기 및 남용 방지법(CFAA)에 따른 기소 정책SEAL 화이트햇 세이프 하버 협약 및 그 요약(GitHub의 Security Alliance)2024년 4월 미국 검찰이 발표한 샤키브 아흐메드의 형량 관련 내용레슨 5.3.5(스마트 컨트랙트 감사) 및 6.2.6(도난으로서의 해킹과 익스플로잇)

호기심

  1. 프로토콜이 자금을 반환해 준 해커에게 ‘보상금’을 지불한다면, 그 해커는 법적 문제가 없는 것일까?
  2. 누군가가 프로토콜의 자금을 빼내고 있는 동안 그 자금을 구출하는 것은 합법적인가요?
  3. 해킹 이후의 협상이 고문으로 변하는 것은 무엇인가?

탐구

  1. ‘bounty’라는 단어는 세 가지 다른 의미로 사용됩니다. 버그 바운티는 누군가가 취약점을 악용하기 전에 이를 신고하는 사람에게 주어지는 보상입니다. 화이트햇 리스큐는 보안 연구원이 이미 공격받고 있는 계약의 자금을 안전하게 지키기 위해 그 자금을 다른 곳으로 옮기는 것을 말합니다. 협상에 의한 반환은 일반적으로 악용 사건이 발생한 후 온체인 상에서 제안되며, 나머지 금액이 돌아오면 공격자도 일부를 가져갈 수 있도록 하는 방식입니다. 법적으로는 이들은 명확하게 구분됩니다. 처음 두 가지는 프로토콜에 의해 사전에 승인받을 수 있지만, 세 번째 경우는 이미 돈을 가져간 사람과의 합의에 해당합니다.
  2. 2021년 8월 10일에 발생한 Poly Network 익스플로잇 사건이 그 전형을 보여주었습니다. 공격자는 크로스체인 프로토콜에서 약 6억 1천만 달러를 빼낸 후 반환을 시작했습니다. Poly Network는 공격자를 ‘Mr. White Hat’라고 부르며 협상의 일환으로 50만 달러의 보상금을 제안했고, Tether는 약 3천3백만 달러 상당의 USDT를 동결시켰습니다. 8월 말이 되자 공격자는 남은 자금에 대한 접근 권한을 반환했습니다. 공격자를 ‘화이트 해트’라고 부른 것은 피해자의 협상적 선택이었으며, 법적 판단은 아니었습니다. 레슨 5.3.5에서 다룬 Euler Finance의 2023년 복구 과정도 비슷한 경로를 따랐습니다.
  3. 아흐메드 사건은 검찰이 이러한 협상을 어떻게 바라보는지를 보여줍니다(레슨 6.2.6). 첫 번째 익스플로잇 이후, 샤키브 아흐메드는 해당 거래소가 이 공격을 법 집행 기관에 신고하지 않는다는 조건으로 150만 달러를 제외한 모든 금액을 돌려주겠다고 제안했습니다. Nirvana Finance는 자금을 반환해 주면 최대 60만 달러의 버그 바운티를 제공하겠다고 했지만, 그는 140만 달러를 요구했으며 합의에 이르지 못해 모든 금액을 자신이 가졌습니다. 검찰은 그에게 3년형을 선고하면서 두 사건 모두를 언급했습니다. KyberSwap 사건에서는 안디안 메제도비치가 자금의 절반 정도를 돌려주는 대가로 프로토콜과 그 DAO에 대한 통제권을 요구했다고 검찰은 주장하며 공갈미수 혐의를 적용했습니다.
  4. 공격 이전의 연구를 위해 법무부는 2022년 5월 19일에 정책을 변경했습니다. 연방 검사들은 컴퓨터 사기 및 남용 방지법(CFAA)에 따라 선의로 수행되는 보안 연구에 대해서는 기소하지 않도록 지시받았습니다. 여기서 말하는 선의의 연구란, 피해를 방지하기 위한 목적으로 오직 결함을 테스트하거나 조사하거나 수정하기 위해 접근하는 것이며, 그 결과는 주로 보안성 향상에 사용됩니다. 이 정책은 연구를 한다고 주장한다고 해서 무조건 용인된다는 의미가 아니라는 점을 명시하고 있습니다. 즉, 소유자로부터 금전을 갈취하기 위해 취약점을 찾는 것은 선의에 해당하지 않습니다. 이 정책은 연방 검사들에게만 적용되며, 주정부, 외국 정부나 민간 원고들에게는 적용되지 않습니다.
  5. 공격 중의 구조 활동을 위해 Security Alliance(SEAL)는 프로토콜이 거버넌스를 통해 채택하는 화이트햇 세이프 하버 협약을 발표합니다. 이 협약은 타인에 의해 시작된 활성 익스플로잇만을 대상으로 하며, 화이트햇은 회수한 자산을 프로토콜이 지정한 자산 회수 주소(Asset Recovery Address)로 보내야 합니다. SEAL은 10%의 보상을 권장하며, 프로토콜은 이를 조정하거나 상한선을 설정할 수 있습니다. 화이트햇이 이를 준수할 경우, 프로토콜과 그 사용자들은 그에 대한 청구권을 포기합니다. 협약의 요약 부분에서는 이 협약이 정부나 규제 기관의 조치를 다루지 않으며, 다룰 수도 없다고 명시되어 있습니다. 분쟁은 기본적으로 SIAC 규칙에 따라 싱가포르에서 중재로 해결됩니다.
  6. 개발자들에게 있어 실용적인 방법은 출시 전에 공개 정책과 보상 정책을 발표하고 세이프 하버 제도를 도입할지 결정하는 것입니다. 이렇게 하면 연구자들이 미리 규칙을 알 수 있습니다. 익스플로잇이 발생한 후에는 어떠한 제안도 프로토콜 자체의 청구권을 해결하기 위한 사적인 합의에 불과합니다. 아흐메드가 제시한 경찰에 대해 침묵을 지키는 조건은 그를 보호해주지 못했으며, 반환의 대가로 통제권이나 금전을 요구하는 것은 KyberSwap 사건과 마찬가지로 공갈미수로 기소될 수 있습니다. 한편 연구자들은 그들을 명확하게 포괄하는 서면 권한이 없으면 자금을 건드리지 않아야 합니다. SEAL의 요약 내용에 따르면, 구조 과정에서 발생하는 모든 세금도 화이트햇이 부담해야 합니다.

핵심 사실

  • 2021년 8월 10일, 한 공격자가 Poly Network에서 약 6억 1천만 달러를 가져갔다가 이후 돌려주었습니다; 협상 과정에서 Poly Network는 50만 달러의 보상금을 제시했습니다.
  • 2022년 7월에 발생한 익스플로잇 이후, 샤키브 아흐메드는 거래소가 해당 공격 사건을 법 집행 기관에 신고하지 않는다면 150만 달러를 제외한 모든 금액을 돌려주겠다고 제안했습니다.
  • Nirvana Finance는 아흐메드에게 최대 60만 달러의 버그 바운티를 제안했지만, 그는 140만 달러를 요구하고 그 자금을 모두 챙겼습니다.
  • 2022년 5월 19일, 법무부는 선의의 보안 연구는 컴퓨터 사기 및 남용 방지법(CFAA)에 따라 기소되어서는 안 된다고 지시했습니다.
  • SEAL 화이트햇 세이프 하버 협약은 다른 사람이 시작한 활성 익스플로잇에만 적용되며, 프로토콜이 조정하거나 상한선을 설정할 수 있는 10%의 보상을 권장합니다.
  • SEAL Safe Harbor 요약에 따르면, 이 협약은 해당 프로토콜과 그 사용자들을 대상으로 하지만 정부나 규제 기관의 행동까지는 포함하지도, 포함할 수도 없습니다.

연습 아홉, 여섯, 셋, 하나

9모으기보상 정책이나 세이프 하버 제도, 혹은 공격자에게 제시하는 제안에서 프로토콜이 설정할 수 있는 최대 9가지 조건을 나열하십시오(일부 목록은 더 짧을 수 있음). 예: 보상 비율, 기한, 반환 주소 등.
6묶기다음을 6가지 범주로 분류하십시오: 보장 내용, 지급 금액, 자금 환불 방식, 기한, 법적 면제 사항, 그리고 위험할 수 있는 조건들.
3추리기6개 범주를 3개 그룹으로 줄이세요: 공격 이전에 설정된 조건, 익스플로잇 이후에만 제시되는 조건, 그리고 어떤 사적 주체도 합법적으로 약속할 수 없는 조건.
1결정화프로토콜은 해커에 대한 자신의 청구권을 포기할 수는 있지만, 해커가 기소되지 않을 것이라고는 약속할 수 없는 이유를 나만의 말로 한 문장으로 설명하세요.

팩트 체크

날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.

인터랙티브 아카데미에서 열기 →

EN PT ES ZH JA RU DE FR MS