MSTR Cat

Undang-undang Kripto/Tahap VI · Kelakuan pasaran/6.2 Orang dalam dan rug pull/Pelajaran 7

Hadiah, topi putih dan pulangan yang dipersetujui

Apa yang boleh dan tidak boleh dilakukan secara sah oleh program bug bounty, tawaran 'bounty' selepas serangan siber, serta perlindungan khas (safe harbour) untuk whitehat, dan mengapa suatu protokol tidak boleh menjanjikan imuniti daripada pendakwaan kepada sesiapa pun.

Pendidikan, bukan nasihat undang-undang, cukai atau pelaburan. Undang-undang kripto berbeza antara negara dan negeri, dan kerap berubah. Semak peraturan semasa di tempat anda tinggal dengan peguam atau penasihat cukai yang berkelayakan sebelum anda bertindak.

Laluan paling ringan

Laluan paling murah, paling rendah cukai, paling mudah dan paling peribadi yang dibenarkan undang-undang, bermula dengan yang terbaik. Setiap langkah menyatakan peraturan yang menjadi asasnya dan syarat yang mengekalkannya sah.

  1. Pembangun: terbitkan dasar ganjaran ralat (bug-bounty) dan pendedahan sebelum pelancaran; kosnya hanyalah ganjaran yang anda pilih, dan dasar Jabatan Kehakiman pada 19 Mei 2022 menyatakan bahawa penyelidikan berniat baik tidak seharusnya didakwa di bawah CFAA. Perhatian: dasar itu hanya mengikat pendakwa raya persekutuan.
  2. Laksanakan Safe Harbor Whitehat SEAL melalui tadbir urus tanpa kos lesen: penyelamat menghantar dana ke Alamat Pemulihan Aset anda untuk ganjaran yang disyorkan sebanyak 10% dan anda melepaskan tuntutan. Perhatian: ia tidak boleh meliputi tindakan kerajaan, dan sebarang percanggahan secara lalai tertakluk kepada arbitraj SIAC.
  3. Selepas eksploitasi, tawaran on-chain hanya menyelesaikan tuntutan protokol anda sendiri. Jangan sekali-kali menawarkan pendiaman terhadap polis, seperti yang dicadangkan oleh Ahmed, dan jangan sesekali menjanjikan kebal daripada pendakwaan, kerana tiada pihak swasta yang boleh memberikannya.
  4. Penyelidik: pindahkan dana hanya dengan kuasa bertulis yang jelas meliputi anda, dan laporkan sebarang ganjaran sebagai pendapatan, memandangkan ringkasan SEAL menjadikan whitehat bertanggungjawab untuk cukai. Meminta pembayaran atau kawalan untuk pemulangan boleh didakwa sebagai cubaan ugutan.

BahanDasar Jabatan Kehakiman pada Mei 2022 mengenai pendakwaan kes di bawah Akta Penipuan dan Penguasaan Komputer (Computer Fraud and Abuse Act)Perjanjian SEAL Whitehat Safe Harbor dan ringkasannya (Security Alliance, di GitHub)Pengumuman Peguam A.S. pada bulan April 2024 mengenai hukuman bagi Shakeeb AhmedPelajaran 5.3.5 (auditan kontrak pintar) dan 6.2.6 (serangan dan eksploitasi sebagai kecurian)

Ingin tahu

  1. Jika sebuah protokol membayar ‘ganjaran’ kepada penggodam untuk mengembalikan dana tersebut, adakah penggodam itu akan terlepas daripada tanggungjawab?
  2. Adakah sah untuk menyelamatkan dana daripada sebuah protokol ketika seseorang lain sedang mengosongkannya?
  3. Apa yang menjadikan rundingan selepas serangan siber bertukar menjadi pemerasan?

Teroka

  1. Tiga perkara yang berbeza berkongsi istilah ‘bounty’. Bug bounty ialah ganjaran yang diumumkan untuk melaporkan kelemahan sebelum ia dieksploitasi oleh sesiapa pun. Whitehat rescue pula berlaku apabila seorang penyelidik keselamatan memindahkan dana daripada kontrak yang sedang diserang untuk melindunginya. Negotiated return ialah tawaran, biasanya dibuat secara on-chain selepas berlakunya eksploitasi, yang membenarkan penyerang mengekalkan sebahagian daripada dana tersebut jika baki dana dikembalikan. Dari segi undang-undang, ketiganya sangat berbeza. Dua yang pertama boleh diluluskan terlebih dahulu oleh protokol; yang ketiga pula merupakan perjanjian dengan seseorang yang sudah mengambil wang tersebut.
  2. Eksploitasi Poly Network pada 10 Ogos 2021 telah menetapkan coraknya. Seorang penyerang memindahkan kira-kira $610 juta daripada protokol cross-chain tersebut, kemudian mula mengembalikannya. Poly Network memanggil penyerang itu sebagai 'Mr. White Hat' dan menawarkan ganjaran sebanyak $500,000 sebagai sebahagian daripada rundingan, sementara Tether membekukan kira-kira $33 juta dalam bentuk USDT. Pada akhir bulan Ogos, penyerang tersebut telah mengembalikan akses kepada dana yang masih tinggal. Memanggil penyerang itu 'white hat' merupakan pilihan strategi rundingan oleh pihak mangsa, bukan penemuan undang-undang. Proses pemulihan Euler Finance pada tahun 2023, yang dibincangkan dalam pelajaran 5.3.5, mengikuti laluan yang serupa.
  3. Kes Ahmed menunjukkan bagaimana pihak pendakwaan melihat tindakan rundingan seumpama ini (pelajaran 6.2.6). Selepas eksploitasi pertamanya, Shakeeb Ahmed menawarkan untuk mengembalikan semua wang kecuali $1.5 juta jika bursa bersetuju untuk tidak merujuk serangan tersebut kepada penguatkuasa undang-undang. Nirvana Finance menawarkan kepadanya bug bounty sehingga $600,000 untuk mengembalikan dana mereka; dia menuntut $1.4 juta, tiada persetujuan dicapai dan dia menyimpan semuanya. Pihak pendakwaan menerangkan kedua-dua episod ini semasa mengumumkan hukuman tiga tahun ke atasnya. Dalam kes KyberSwap, pihak pendakwaan mendakwa bahawa Andean Medjedovic menuntut kawalan ke atas protokol tersebut dan DAO-nya sebagai balasan untuk mengembalikan kira-kira separuh daripada wang tersebut, dan didakwa atas cubaan pemerasan.
  4. Untuk penyelidikan sebelum sebarang serangan, Jabatan Kehakiman telah mengubah dasarnya pada 19 Mei 2022. Pendakwa persekutuan diarahkan untuk tidak mendakwa aktiviti penyelidikan keselamatan yang dilakukan dengan niat baik di bawah Akta Penipuan dan Penguasaan Komputer (Computer Fraud and Abuse Act), iaitu akses yang bertujuan semata-mata untuk menguji, menyiasat atau memperbaiki kelemahan, dilakukan dengan cara yang direka bentuk untuk mengelakkan kerosakan, dan hasilnya digunakan terutamanya untuk meningkatkan keselamatan. Dasar tersebut memberi amaran bahawa mendakwa melakukan penyelidikan bukanlah laluan bebas: mencari kelemahan demi memeras pemiliknya bukanlah tindakan berniat baik. Ia hanya mengikat pendakwa persekutuan, bukan negeri, kerajaan asing atau plaintif swasta.
  5. Untuk penyelamatan semasa serangan, Security Alliance (SEAL) menerbitkan Perjanjian Whitehat Safe Harbor yang diadopsi oleh protokol melalui tadbir urus. Ia hanya merangkumi eksploitasi aktif yang dimulakan oleh pihak lain; whitehat mesti menghantar aset yang dipulihkan ke Alamat Pemulihan Aset (Asset Recovery Address) yang ditetapkan oleh protokol tersebut. SEAL mencadangkan ganjaran sebanyak 10%, yang boleh disesuaikan atau dihadkan oleh suatu protokol. Jika whitehat mematuhi syarat, protokol dan penggunanya akan melepaskan tuntutan terhadap mereka. Ringkasan perjanjian tersebut menyatakan dengan jelas bahawa perjanjian ini tidak meliputi, dan tidak boleh meliputi, tindakan kerajaan atau pihak pengawal selia. Pertikaian akan dirujuk ke timbang tara, secara lalai di Singapura mengikut peraturan SIAC.
  6. Bagi para pembina, semakan praktikal adalah untuk menerbitkan dasar pendedahan dan bug bounty sebelum pelancaran serta memutuskan sama ada untuk mengamalkan safe harbour, supaya penyelidik mengetahui peraturannya terlebih dahulu. Selepas berlakunya eksploitasi, sebarang tawaran hanya berfungsi sebagai penyelesaian persendirian terhadap tuntutan protokol itu sendiri. Syarat yang dicadangkan oleh Ahmed, iaitu berdiam diri daripada pihak polis, tidak melindunginya, dan menuntut kawalan atau bayaran sebagai harga untuk pengembalian dana boleh didakwa sebagai cubaan pemerasan, seperti dalam kes KyberSwap. Para penyelidik pula seharusnya tidak menyentuh dana tanpa kuasa bertulis yang jelas merangkumi tindakan mereka. Ringkasan SEAL juga menjadikan whitehat bertanggungjawab terhadap sebarang cukai yang timbul akibat usaha penyelamatan tersebut.

Fakta utama

  • Pada 10 Ogos 2021, seorang penyerang mengambil kira-kira $610 juta daripada Poly Network dan kemudian mengembalikannya; semasa rundingan, Poly Network menawarkan ganjaran sebanyak $500,000.
  • Selepas berlakunya eksploitasi pada Julai 2022, Shakeeb Ahmed menawarkan untuk mengembalikan semua wang kecuali $1.5 juta jika bursa bersetuju untuk tidak merujuk serangan tersebut kepada penguatkuasa undang-undang.
  • Nirvana Finance menawarkan bug bounty sehingga $600,000 kepada Ahmed; dia menuntut $1.4 juta dan menyimpan semua dana tersebut.
  • Pada 19 Mei 2022, Jabatan Kehakiman mengarahkan agar penyelidikan keselamatan yang dilakukan dengan niat baik tidak didakwa di bawah Akta Penipuan dan Penguasaan Komputer (Computer Fraud and Abuse Act).
  • Perjanjian SEAL Whitehat Safe Harbor hanya terpakai kepada serangan aktif yang dimulakan oleh pihak lain, dan mencadangkan ganjaran sebanyak 10%, yang boleh disesuaikan atau dibatasi oleh protokol tertentu.
  • Ringkasan SEAL Safe Harbor menyatakan bahawa perjanjian tersebut meliputi protokol dan penggunanya, tetapi tidak serta tidak boleh meliputi tindakan kerajaan atau entiti kawal selia.

Latihan sembilan, enam, tiga, satu

9KumpulSenaraikan sehingga 9 syarat yang mungkin ditetapkan oleh suatu protokol dalam dasar bug bounty atau safe harbour, atau dalam tawaran kepada penyerang (sesetengah senarai lebih pendek), seperti peratusan ganjaran, tarikh akhir, atau alamat pengembalian.
6KelompokkanSusunnya ke dalam 6 kategori: apa yang dilindungi, berapa jumlah yang dibayar, bagaimana dana dikembalikan, tarikh akhir, pengecualian undang-undang, dan syarat-syarat yang boleh menimbulkan risiko.
3SaringKurangkan 6 kategori tersebut kepada 3 kumpulan: istilah yang ditetapkan sebelum sebarang serangan, istilah yang hanya ditawarkan selepas berlakunya eksploitasi, dan istilah yang tidak boleh dijanjikan secara sah oleh mana-mana pihak swasta.
1KristalkanTulis 1 ayat yang menjelaskan, dengan kata-kata anda sendiri, mengapa suatu protokol boleh melepaskan tuntutannya terhadap seorang penggodam tetapi tidak dapat menjanjikan bahawa penggodam tersebut tidak akan didakwa.

Semakan fakta

Tarikh, angka dan dakwaan telah disemak berbanding dengan sumber yang diterbitkan yang disenaraikan di bawah.

Buka dalam akademi interaktif →

EN PT ES ZH JA KO RU DE FR