Direito Cripto/Nível VI · Conduta de mercado/6.2 Insiders e rug pulls/Lição 7

Bounties, white hats e devoluções negociadas

O que um bug bounty, uma oferta de “bounty” após um hack e um porto seguro (safe harbor) para whitehats podem e não podem fazer juridicamente, e por que um protocolo não pode prometer a ninguém imunidade contra acusação penal.

É educação, não aconselhamento jurídico, tributário ou de investimento. O direito cripto varia entre países e estados e muda com frequência. Antes de agir, confirme as regras vigentes onde você mora com um advogado ou consultor tributário habilitado.

O caminho enxuto

A rota mais barata, com menos impostos, mais simples e mais privada que a lei permite, da melhor para a pior. Cada passo indica a regra em que se apoia e a condição que o mantém dentro da lei.

Desenvolvedores: publique uma política de bug bounty e de divulgação antes do lançamento; ela custa apenas a recompensa que você escolher, e a política do Departamento de Justiça de 19 de maio de 2022 diz que a pesquisa de boa-fé não deve ser acusada nos termos do CFAA. O porém: essa política vincula apenas os promotores federais.
Adote o SEAL Whitehat Safe Harbor por meio da governança, sem custo de licença: os resgatadores enviam os fundos ao seu Asset Recovery Address por uma recompensa recomendada de 10% e você renuncia às pretensões. O porém: ele não pode cobrir ação governamental, e as disputas seguem por padrão para arbitragem na SIAC.
Após um exploit, uma oferta on-chain resolve apenas as pretensões do seu próprio protocolo. Nunca ofereça silêncio perante a polícia, como Ahmed propôs, e nunca prometa imunidade contra acusação, que nenhuma parte privada pode dar.
Pesquisadores: movam fundos apenas com autorização escrita que claramente os abranja e reportem qualquer recompensa como renda, já que o resumo do SEAL torna o whitehat responsável pelos impostos. Exigir pagamento ou controle em troca de uma devolução pode ser acusado como tentativa de extorsão.

MateriaisA política do Departamento de Justiça de maio de 2022 sobre acusações com base no Computer Fraud and Abuse ActO SEAL Whitehat Safe Harbor Agreement e seu resumo (Security Alliance, no GitHub)O comunicado da Procuradoria Federal dos EUA de abril de 2024 sobre a sentença de Shakeeb AhmedLições 5.3.5 (auditorias de contratos inteligentes) e 6.2.6 (hacks e exploits como roubo)

Curiosidade

Se um protocolo paga um hacker uma “recompensa” para devolver os fundos, o hacker fica então livre de problemas?
É legal resgatar fundos de um protocolo enquanto outra pessoa está esvaziando-o?
O que faz com que uma negociação após um hack se transforme em extorsão?

Explorar

Três coisas diferentes compartilham a palavra “bounty”. Um bug bounty é uma recompensa publicada para quem relatar uma vulnerabilidade antes que alguém a explore. Um resgate whitehat ocorre quando um pesquisador de segurança retira fundos de um contrato que já está sendo atacado, para mantê-los a salvo. Uma devolução negociada é uma oferta, geralmente feita on-chain após um exploit, que deixa o atacante ficar com uma parte se o restante voltar. Juridicamente, as três diferem muito. As duas primeiras podem ser autorizadas de antemão pelo protocolo; a terceira é um acordo com alguém que já pegou o dinheiro.
O ataque à Poly Network em 10 de agosto de 2021 estabeleceu um padrão. Um invasor retirou cerca de 610 milhões de dólares do protocolo intercadeia e depois começou a devolvê-los. A Poly Network chamou o invasor de “Sr. White Hat” e ofereceu uma recompensa de 500.000 dólares como parte das negociações, enquanto a Tether congelou cerca de 33 milhões de USDT. No final de agosto, o invasor devolveu o acesso aos fundos restantes. Chamar o invasor de “white hat” foi uma escolha nas negociações por parte da vítima, e não uma constatação legal. A recuperação pela Euler Finance em 2023, abordada na lição 5.3.5, seguiu um caminho semelhante.
O caso Ahmed mostra como os promotores encaram essas barganhas (lição 6.2.6). Depois de seu primeiro exploit, Shakeeb Ahmed ofereceu devolver tudo menos 1,5 milhão de dólares se a corretora concordasse em não comunicar o ataque às autoridades. A Nirvana Finance lhe ofereceu um bug bounty de até 600.000 dólares para devolver seus fundos; ele exigiu 1,4 milhão de dólares, não houve acordo e ele ficou com tudo. Os promotores descreveram os dois episódios ao anunciar sua sentença de três anos. No caso KyberSwap, os promotores alegam que Andean Medjedovic exigiu o controle do protocolo e de sua DAO em troca de devolver cerca de metade, e o acusaram de tentativa de extorsão.
Para a pesquisa feita antes de qualquer ataque, o Departamento de Justiça mudou sua política em 19 de maio de 2022. Os promotores federais são orientados a não acusar, com base no Computer Fraud and Abuse Act, a pesquisa de segurança de boa-fé, isto é, o acesso feito apenas para testar, investigar ou corrigir uma falha, de forma concebida para evitar danos, com os resultados usados principalmente para melhorar a segurança. A política adverte que alegar estar pesquisando não é salvo-conduto: encontrar vulnerabilidades para extorquir seus donos não é boa-fé. Ela vincula apenas os promotores federais, não os estados, governos estrangeiros ou autores de ações privadas.
Para resgates durante um ataque, a Security Alliance (SEAL) publica um Whitehat Safe Harbor Agreement que os protocolos adotam por meio de governança. Ele cobre apenas exploits em andamento iniciados por outra pessoa; o whitehat deve enviar os ativos recuperados ao endereço de recuperação de ativos (Asset Recovery Address) designado pelo protocolo. A SEAL recomenda uma recompensa de 10%, que o protocolo pode ajustar ou limitar. Se o whitehat cumprir as regras, o protocolo e seus usuários renunciam às pretensões contra ele. O resumo é explícito: o acordo não cobre, nem pode cobrir, ações governamentais ou regulatórias. As disputas vão para arbitragem, por padrão em Singapura, sob as regras do SIAC.
Para os desenvolvedores, uma verificação prática é publicar uma política de divulgação e recompensas antes do lançamento e decidir se adotará um “porto seguro”, para que os pesquisadores conheçam as regras com antecedência. Após um exploit, qualquer oferta funciona apenas como um acordo privado para resolver as reclamações do próprio protocolo. A condição proposta por Ahmed, de silêncio em relação à polícia, não o protegeu, e exigir controle ou pagamento como preço para devolver os fundos pode ser considerado tentativa de extorsão, como no caso do KyberSwap. Por sua vez, os pesquisadores não devem tocar nos fundos sem autorização por escrito que os cubra claramente. O resumo da SEAL também torna o “whitehat” responsável por quaisquer impostos gerados pelo resgate.

Fatos-chave

Em 10 de agosto de 2021, um invasor roubou cerca de 610 milhões de dólares da Poly Network e depois os devolveu; durante as negociações, a Poly Network ofereceu uma recompensa de 500.000 dólares.
Após um exploit em julho de 2022, Shakeeb Ahmed ofereceu devolver tudo menos 1,5 milhão de dólares se a corretora concordasse em não comunicar o ataque às autoridades.
A Nirvana Finance ofereceu a Ahmed uma recompensa por vulnerabilidades de até 600.000 dólares; ele exigiu 1,4 milhão e ficou com todo o dinheiro.
Em 19 de maio de 2022, o Departamento de Justiça determinou que a pesquisa de segurança de boa-fé não deveria ser acusada com base no Computer Fraud and Abuse Act.
O SEAL Whitehat Safe Harbor Agreement aplica-se apenas a exploits em andamento iniciados por outra pessoa e recomenda uma recompensa de 10%, que os protocolos podem ajustar ou limitar.
O resumo do SEAL Safe Harbor afirma que o acordo abrange o protocolo e seus usuários, mas não abrange nem pode abranger as ações de entidades governamentais ou reguladoras.

Exercício nove, seis, três, um

9ReunirListe até 9 termos que um protocolo poderia fixar em uma política de bounty ou de porto seguro, ou em uma oferta a um atacante (algumas listas são mais curtas), como um percentual de recompensa, um prazo ou um endereço de devolução.

6AgruparClassifique-os em 6 categorias: o que é coberto, quanto é pago, como os fundos são devolvidos, prazos, isenções legais e condições que podem ser arriscadas.

3DestilarReduza as 6 categorias para 3 grupos: termos definidos antes de qualquer ataque, termos oferecidos somente após uma exploração e termos que nenhuma parte privada pode prometer legalmente.

1CristalizarEscreva 1 frase explicando, com suas próprias palavras, por que um protocolo pode renunciar às suas próprias pretensões contra um hacker, mas não pode prometer que o hacker não será processado criminalmente.

Verificação de fatos

Datas, números e afirmações verificados com as fontes publicadas listadas abaixo.

Abrir na academia interativa →

EN ES ZH JA KO RU DE FR MS