MSTR Cat

加密资产法/等级 VI · 市场行为/6.2 内幕人士与跑路骗局/课程 7

悬赏、白帽黑客以及通过谈判实现的资产返还

什么是漏洞赏金计划？黑客攻击后提供的“赏金”以及白帽黑客保护机制在法律上允许与不允许做什么？为何相关协议无法为任何人免除起诉风险？

本内容为教育性质，不构成法律、税务或投资建议。加密资产相关法律因国家和州而异，且经常变化。采取行动前，请向您所在地的合格律师或税务顾问核实现行规定。

精简路径

法律允许的最省钱、税负最低、最简单、最私密的做法，按优先顺序排列。每一步都注明所依据的规则，以及保持合法所需满足的条件。

  1. 开发者：在上线前发布漏洞赏金与披露政策；其成本仅为您所设定的奖励金额，且美国司法部2022年5月19日的政策规定，善意研究不应依据《计算机欺诈和滥用法》（CFAA）被起诉。注意：该政策仅约束联邦检察官。
  2. 通过治理机制采纳SEAL白帽安全港条款，无需支付许可费：救援者将资金发送至您的资产回收地址以换取建议的10%奖励，而您则放弃相关索赔权。注意：该条款无法涵盖政府行动，且争议默认提交至新加坡国际仲裁中心（SIAC）进行仲裁。
  3. 在遭受攻击后，链上要约仅能解决您自身协议的索赔问题。切勿如Ahmed所提议的那样向警方提供封口费，也切勿承诺豁免刑事追诉权，因为任何私人主体均无权给予此种豁免。
  4. 研究人员：仅在持有明确涵盖您的书面授权的情况下转移资金，并将任何奖励申报为收入，因为SEAL摘要规定白帽需自行承担纳税义务。若以归还资金或控制权作为条件索要报酬，可能构成敲诈勒索未遂罪。

材料美国司法部2022年5月关于依据《计算机欺诈与滥用法》提起诉讼的政策SEAL白帽安全港协议及其摘要（GitHub上的Security Alliance）美国检察官于2024年4月公布的沙基布·艾哈迈德的判决结果第5.3.5课（智能合约审计）与第6.2.6课（将黑客攻击视为盗窃行为）

好奇

  1. 如果某项协议向黑客支付“赏金”以让其归还资金，那么黑客就没事了吗？
  2. 在有人正在耗尽某个协议中的资金时，从中抢救出资金是否合法？
  3. 为什么黑客攻击后的谈判会变成敲诈勒索？

探索

  1. 有三个不同的概念都使用“bounty”这个词。漏洞赏金是指在有人利用该漏洞之前，为鼓励人们报告漏洞而提供的奖励；白帽救援则是指安全研究人员将资金从正在遭受攻击的合约中转移出来，以保护这些资金的安全；协商返还则是一种通常在漏洞被利用后于链上提出的方案，即允许攻击者保留一部分资金，其余部分则归原主。从法律层面来看，这三种情况有着显著的区别：前两种可以事先得到协议的许可，而第三种则是与已经窃取了资金的人达成的协议。
  2. 2021年8月10日发生的Poly Network攻击为后续事件树立了先例：攻击者从该跨链协议中盗走了约6.1亿美元，随后开始将资金归还。Poly Network称该攻击者为“白帽黑客”，并在谈判中提供了50万美元的赏金；而Tether则冻结了约3300万美元的USDT。到了8月底，攻击者已归还剩余的资金。将攻击者称为“白帽黑客”是受害方的谈判策略，并非法律上的认定。第5.3.5课中提到的Euler Finance在2023年的资金追回过程也遵循了类似的路径。
  3. 艾哈迈德案展示了检察官如何看待此类交易行为（见第6.2.6课）。在首次实施攻击后，沙基布·艾哈迈德提出，只要对方同意不向执法部门报案，他愿意归还除150万美元以外的所有资金。Nirvana Finance提出给予他高达60万美元的奖励以让他归还资金，但他却要求140万美元，双方未能达成协议，于是他将所有钱据为己有。检察官在宣布对他的三年刑期时提到了这两起事件。在KyberSwap案中，检察官指控安第斯·梅杰多维奇企图通过控制该协议及其去中心化自治组织来换取大约一半的资金，并以敲诈勒索罪起诉了他。
  4. 为在发起攻击前进行相关研究，司法部于2022年5月19日修改了相关政策。根据新规定，联邦检察官不得依据《计算机欺诈与滥用法》对出于善意的安全研究行为提起指控；这类研究旨在测试、调查或修复漏洞，且采取的方式不会造成损害，其结果也仅用于提升安全性。该政策明确指出，以研究为名并不能成为违法行为的借口：为敲诈漏洞所有者而发现这些漏洞的行为不属于善意行为。此规定仅适用于联邦检察官，不适用于各州、外国政府或私人原告。
  5. 为在攻击发生时提供救援，安全联盟（SEAL）制定了《白帽安全港协议》，各协议需通过相应治理机制采纳该协议。该协议仅适用于由他人发起的主动攻击；白帽必须将追回的资产发送至协议规定的资产回收地址。SEAL建议给予10%的奖励，但各协议可自行调整或设定上限。若白帽遵守规定，则该协议及其用户不得对其提出任何索赔。协议明确指出，其并不涵盖也不可能涵盖政府或监管机构的行动；如有争议，将依据SIAC规则在新加坡进行仲裁。
  6. 对于开发者而言，切实可行的做法是在项目上线前公布相关披露与奖励政策，并决定是否采用“安全港”机制，这样研究人员就能提前了解规则。在漏洞被利用后，任何补偿提议都仅能作为对协议方权益的私下解决方式。艾哈迈德所提出的“不对警方透露信息”的条件并未能保护他；而以控制资金或金钱作为归还条件的要求，则可能被视为敲诈未遂，就像 KyberSwap 案例中的情况一样。至于研究人员，若没有明确授权文件，就不应擅自处理任何资金。SEAL 的总结还指出，白帽黑客需为自己因救援行动而产生的所有税费负责。

关键事实

  • 2021年8月10日，一名攻击者从Poly Network窃走了约6.1亿美元的资金，随后又将其归还；在协商过程中，Poly Network悬赏50万美元以表彰该攻击者。
  • 在2022年7月发生那次安全漏洞事件后，Shakeeb Ahmed提出，只要交易所同意不将此事报告给执法部门，他愿意退还除150万美元之外的所有款项。
  • Nirvana Finance向艾哈迈德提供了最高60万美元的漏洞奖励，但他却索要140万美元，并将这笔钱据为己有。
  • 2022年5月19日，美国司法部规定，出于善意的安全研究不应被《计算机欺诈与滥用法》所追究责任。
  • SEAL白帽安全港协议仅适用于由他人发起的主动攻击行为，建议给予10%的奖励金额，具体比例可由相关规则进行调整或设定上限。
  • SEAL Safe Harbor 摘要指出，该协议适用于相关协议及其使用者，但不涵盖也无法约束政府或监管机构的行为。

练习 九、六、三、一

9收集列举协议在悬赏或安全庇护政策中，或在向攻击者发出的邀请中可能规定的最多9项内容（某些列表的内容会更少），例如奖励比例、截止日期或反馈地址等。
6归类将它们分为6类：涵盖内容、支付金额、资金返还方式、截止日期、法律豁免条款，以及可能带来风险的条款。
3提炼将这6类术语简化为3组：攻击发生前设定的术语、仅在漏洞被利用后才提供的术语，以及任何私人实体均不得合法承诺的术语。
1凝结可以说，协议虽然可以放弃对黑客的追索权，但却无法保证该黑客不会被起诉。

事实核查

日期、数字及数据均依据下方列出的已发表资料进行核实。

在互动学院中打开 →

EN PT ES JA KO RU DE FR MS