Криптоправо/Уровень VI · Поведение на рынке/6.2 Инсайдеры и раг-пуллы/Урок 7

Награды за уязвимости, белые шляпы и согласованный возврат средств

Что могут и чего не могут сделать с юридической точки зрения программа вознаграждения за уязвимости (bug bounty), предложение «награды» после взлома и режим безопасной гавани для whitehat-исследователей, и почему протокол не может пообещать кому-либо иммунитет от уголовного преследования.

Это образовательный материал, а не юридическая, налоговая или инвестиционная консультация. Законодательство о криптоактивах различается от страны к стране и от штата к штату и часто меняется. Прежде чем действовать, уточните действующие правила по месту жительства у квалифицированного юриста или налогового консультанта.

Экономный путь

Самый дешёвый, с наименьшими налогами, самый простой и самый приватный путь, который допускает закон, — от лучшего к худшему. Для каждого шага указано, на какой норме он основан и при каком условии остаётся законным.

Разработчикам: опубликуйте политику вознаграждения за уязвимости (bug bounty) и раскрытия информации до запуска; это стоит только той награды, которую вы выберете, а политика Министерства юстиции от 19 мая 2022 года гласит, что добросовестные исследования не должны становиться основанием для предъявления обвинений по CFAA. Подвох: эта политика связывает только федеральных прокуроров.
Примите Соглашение о режиме безопасной гавани для whitehat-исследователей от SEAL через механизмы управления без лицензионных затрат: спасатели отправляют средства на ваш адрес восстановления активов (Asset Recovery Address) за рекомендованное вознаграждение в 10%, а вы отказываетесь от претензий. Подвох: оно не может охватывать действия государства, и споры по умолчанию передаются на арбитраж SIAC.
После эксплуатации уязвимости предложение в блокчейне урегулирует только претензии вашего протокола. Никогда не предлагайте молчание перед полицией, как это предложил Ahmed, и никогда не обещайте иммунитет от уголовного преследования, который ни одно частное лицо не может предоставить.
Исследователям: перемещайте средства только с письменным полномочием, которое явно вас охватывает, и указывайте любое вознаграждение как доход, поскольку краткое изложение от SEAL делает whitehat ответственным за налоги. Требование оплаты или контроля в качестве условия возврата может быть квалифицировано как покушение на шантаж.

МатериалыПолитика Министерства юстиции США (Май 2022) о предъявлении обвинений по делам в соответствии с Законом о компьютерных мошенничествах и злоупотреблениях (Computer Fraud and Abuse Act)Соглашение о режиме безопасной гавани для whitehat-исследователей от SEAL (Security Alliance) и его краткое изложение (на GitHub)Сообщение федерального прокурора США (Апрель 2024) об объявлении приговора Shakeeb AhmedУроки 5.3.5 (аудит смарт-контрактов) и 6.2.6 (взломы и эксплуатация уязвимостей как кража)

Любопытство

Если протокол платит хакеру «награду» за возврат средств, считается ли хакер тогда чистым перед законом?
Законно ли спасать средства из протокола, пока кто-то другой их выводит?
Что превращает переговоры после взлома в шантаж?

Исследование

Три разные вещи объединяет слово «bounty» (награда). Bug bounty — это опубликованное вознаграждение за сообщение об уязвимости до того, как кто-либо ее эксплуатирует. Whitehat rescue (спасение средств whitehat) — это когда исследователь безопасности выводит средства из контракта, который уже подвергается атаке, чтобы сохранить их в безопасности. Negotiated return (согласованный возврат) — это предложение, обычно сделанное в блокчейне после эксплуатации уязвимости, позволяющее атакующему оставить себе долю, если остальное вернется. Юридически они резко различаются. Первые два могут быть заранее одобрены протоколом; третье представляет собой сделку с тем, кто уже забрал деньги.
Эксплуатация уязвимости в Poly Network 10 августа 2021 года задала этот шаблон. Атакующий вывел около $610 млн из кросс-чейн протокола, а затем начал возвращать средства. Poly Network назвал атакующего «Mr. White Hat» и предложил награду в размере $500 000 как часть переговоров, в то время как Tether заморозила около $33 млн USDT. К концу августа атакующий вернул доступ к оставшимся средствам. Называние атакующего «white hat» было переговорным решением потерпевшего, а не юридическим заключением. Восстановление средств в Euler Finance в 2023 году, описанное в уроке 5.3.5, прошло по аналогичному пути.
Дело Ahmed показывает, как прокуроры рассматривают такие торги (урок 6.2.6). После своей первой эксплуатации Shakeeb Ahmed предложил вернуть все, кроме $1,5 млн, если криптобиржа согласится не передавать атаку правоохранительным органам. Nirvana Finance предложила ему bug bounty в размере до $600 000 за возврат средств; он потребовал $1,4 млн, соглашение достигнуто не было, и он сохранил все средства. Прокуроры описали оба эпизода при объявлении его трехлетнего приговора. В деле KyberSwap прокуроры утверждают, что Andean Medjedovic потребовал контроля над протоколом и его DAO в обмен на возврат примерно половины средств, и предъявили обвинение в покушении на шантаж.
Что касается исследований до любой атаки, Министерство юстиции изменило свою политику 19 мая 2022 года. Федеральным прокурорам предписано не предъявлять обвинения за добросовестные исследования безопасности в соответствии с Computer Fraud and Abuse Act (CFAA), что означает доступ исключительно для тестирования, расследования или исправления дефекта, выполненный таким образом, чтобы избежать вреда, с использованием результатов преимущественно для улучшения безопасности. Политика предупреждает, что утверждение о проведении исследований не является пропуском: обнаружение уязвимостей с целью шантажа их владельцев не считается добросовестным. Она связывает только федеральных прокуроров, а не штаты, иностранные правительства или частных истцов.
Что касается спасения средств во время атаки, Security Alliance (SEAL) публикует Соглашение о режиме безопасной гавани для whitehat-исследователей, которое протоколы принимают через механизмы управления. Оно охватывает только активные эксплуатации уязвимостей, начатые кем-то другим; whitehat должен отправить восстановленные активы на назначенный протоколом адрес восстановления активов (Asset Recovery Address). SEAL рекомендует вознаграждение в размере 10%, которое протокол может скорректировать или ограничить. Если whitehat соблюдает условия, протокол и его пользователи отказываются от претензий к нему. В кратком изложении прямо указано, что соглашение не охватывает и не может охватывать действия государственных или регулирующих органов. Споры передаются на арбитраж, по умолчанию в Сингапуре в соответствии с правилами SIAC.
Для разработчиков практическая проверка заключается в том, чтобы опубликовать политику раскрытия информации и вознаграждения за уязвимости до запуска и решить, принимать ли режим безопасной гавани, чтобы исследователи знали правила заранее. После эксплуатации уязвимости любое предложение действует только как частное урегулирование претензий самого протокола. Предложенное Ahmed условие — молчание перед полицией — не защитило его, а требование контроля или оплаты в качестве цены за возврат средств может быть квалифицировано как покушение на шантаж, как в деле KyberSwap. Исследователи со своей стороны не должны трогать средства без письменного полномочия, которое явно их охватывает. Краткое изложение SEAL также делает whitehat ответственным за любые налоги, возникающие в результате спасения средств.

Ключевые факты

10 августа 2021 года атакующий забрал около $610 млн из Poly Network и позже вернул их; во время переговоров Poly Network предложила награду в размере $500 000.
После эксплуатации уязвимости в июле 2022 года Shakeeb Ahmed предложил вернуть все, кроме $1,5 млн, если криптобиржа согласится не передавать атаку правоохранительным органам.
Nirvana Finance предложила Ahmed bug bounty в размере до $600 000; он потребовал $1,4 млн и сохранил все средства.
19 мая 2022 года Министерство юстиции предписало не предъявлять обвинения за добросовестные исследования безопасности в соответствии с Computer Fraud and Abuse Act (CFAA).
Соглашение о режиме безопасной гавани для whitehat-исследователей от SEAL применяется только к активным эксплуатациям уязвимостей, начатым кем-то другим, и рекомендует вознаграждение в размере 10%, которое протоколы могут скорректировать или ограничить.
В кратком изложении режима безопасной гавани от SEAL указано, что соглашение охватывает протокол и его пользователей, но не охватывает и не может охватывать действия государственных или регулирующих органов.

Упражнение девять, шесть, три, один

9СобратьПеречислите до 9 условий, которые протокол может установить в своей политике вознаграждения или режима безопасной гавани, либо в предложении атакующему (некоторые списки короче), например: процент вознаграждения, дедлайн или адрес для возврата средств.

6СгруппироватьРаспределите их по 6 категориям: что охватывается, сколько выплачивается, как возвращаются средства, сроки, юридические отказы от претензий и условия, которые могут быть рискованными.

3Выделить главноеСведите эти 6 категорий к 3 группам: условия, установленные до любой атаки; условия, предлагаемые только после эксплуатации уязвимости; и условия, которые частное лицо не может законно обещать.

1КристаллизоватьПротокол может отказаться от собственных претензий к хакеру, но не может гарантировать, что тот не будет привлечён к уголовной ответственности.

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

Открыть в интерактивной академии →

EN PT ES ZH JA KO DE FR MS