AFX, platforma kryptowalutowa, publicznie zaproponowała hakerowi ugodę w następstwie niedawnego naruszenia bezpieczeństwa. Firma przedstawiła porozumienie typu white-hat, które pozwala atakującemu na legalne zatrzymanie 30% ze skradzionych około 24 milionów dolarów, pod warunkiem zwrotu 70% środków.

AFX przekazała ofertę za pośrednictwem swojego oficjalnego konta na platformie X (dawniej Twitter), a także wysłała wiadomość on-chain bezpośrednio na adres portfela, który jak się uważa jest kontrolowany przez atakującego, co czyni propozycję przejrzystą i możliwą do weryfikacji na blockchainie.

Strategia negocjacyjna

Podejście to stanowi przemyślaną, choć ryzykowną taktykę odzyskiwania środków, stosowaną wcześniej przez inne platformy kryptowalutowe. Przedstawiając propozycję jako nagrodę white-hat, AFX ma na celu zachęcenie atakującego do działania jako odpowiedzialny badacz bezpieczeństwa, a nie jako złośliwy aktor. Nagroda w wysokości 30% jest przeznaczona za zidentyfikowanie luki i zwrot większości skradzionych aktywów, co potencjalnie pozwoli uniknąć przedłużającego się sporu prawnego oraz trwałej utraty środków użytkowników. Wiadomości on-chain stały się standardowym narzędziem w tego typu sytuacjach, ponieważ pozwalają platformom skontaktować się z w innym wypadku anonimowym atakującym za pośrednictwem tej samej infrastruktury blockchain, która została wykorzystana podczas kradzieży.

Ta dwukanałowa metoda komunikacji gwarantuje, że oferta jest jednocześnie widoczna dla szerszej społeczności oraz weryfikowalna kryptograficznie.

Przesłanki z branży

Takie taktyki negocjacyjne nie są bez precedensu w sektorze kryptowalut. W sierpniu 2021 roku protokół cross-chain Poly Network padł ofiarą kradzieży o wartości 610 milionów dolarów — największego włamania DeFi w tamtym czasie — i ostatecznie odzyskał niemal wszystkie środki po publicznym apelu do atakującego i zaoferowaniu nagrody white-hat. Niedawno, w marcu 2023 roku, protokół pożyczkowy Euler Finance odzyskał około 197 milionów dolarów po długotrwałych negocjacjach on-chain ze swoim atakującym. Wyniki nie są jednak nigdy gwarantowane, ponieważ zależą w całości od gotowości atakującego do współpracy; niektóre platformy doświadczyły całkowitego zignorowania swoich ofert white-hat.

Incydent uwypukla trwające wyzwania w dziedzinie bezpieczeństwa, z jakimi mierzy się branża kryptowalut. Według danych Chainalysis, włamania krypto spowodowały kradzież ponad 3,8 miliarda dolarów w 2022 roku i około 1,7 miliarda dolarów w 2023 roku, przy czym luki w smart kontraktach oraz kompromitacje kluczy prywatnych pozostają głównymi wektorami ataków. Te dane potwierdzają kluczową rolę rygorystycznych audytów bezpieczeństwa, programów bug bounty oraz szybkich protokołów reagowania na incydenty dla platform kryptowalutowych.

Implikacje dla użytkowników i rynku

Dla użytkowników AFX włamanie stworzyło okres niepewności. Choć zwrot 70% skradzionych środków stanowiłby częściowe odzyskanie strat, 30% zatrzymane przez hakera to znaczna strata. Incydent rodzi również szersze pytania dotyczące infrastruktury bezpieczeństwa platformy oraz jej zdolności do ochrony aktywów użytkowników. Użytkownicy poszkodowani w takich włamaniach zazwyczaj mierzą się z wydłużonymi okresami oczekiwania, ponieważ negocjacje dotyczące odzyskania środków mogą trwać tygodniami lub miesiącami, a niektóre platformy zawiesiły wypłaty do czasu rozwiązania sprawy.

Dla szerszego rynku kryptowalut włamania o wysokim profilu i wynikające z nich publiczne negocjacje mogą wpływać na zaufanie inwestorów oraz wywoływać kontrolę regulacyjną. Charakter negocjacji prowadzonych on-chain dodaje stopnia przejrzystości rzadko spotykanego w tradycyjnych finansach, ale jednocześnie obnaża luki tkwiące w systemach opartych na blockchainie.

Tło: Wyjaśnienie nagród white-hat

Nagroda white-hat to oferta skierowana przez platformę do hakera — zazwyczaj po naruszeniu bezpieczeństwa — na zwrot skradzionych środków w zamian za gratyfikację finansową i immunitet prawny. Ramy te przedstawiają atakującego jako badacza bezpieczeństwa, który zidentyfikował lukę.

Jeśli chodzi o to, czy tego rodzaj negocjacje są powszechne w branży kryptowalut, kilka protokołów DeFi i giełd stosowało w przeszłości podobne oferty z mieszanymi rezultatami. Część z nich z powodzeniem odzyskała środki; inne nie, ponieważ ostateczny wynik zależy w całości od decyzji atakującego.

Społeczność kryptowalutowa uważnie obserwuje teraz sytuację, aby sprawdzić, czy atakujący przyjmie propozycję AFX.