387 milionů dolarů v ohrožení: THORChain odmítá zablokovat Bitget hackera

Bitget při útoku z 24. září přišel podle posledního vyčíslení o přibližně 387,5 milionu dolarů v kryptoměnách. Útočník získal prostředky z části hot a warm wallet infrastruktury burzy a následně je začal přesouvat přes různé blockchainy.

Bitget později uvedl, že zranitelnost identifikoval a opravil. Jednou z hlavních cest se stal THORChain, přes který lze směňovat aktiva mezi různými blockchainy bez klasické centralizované burzy.

Bitget proto požádal THORChain, aby přestal obsluhovat veřejně identifikované adresy útočníka. CEO Bitgetu Gracy Chen argumentovala tím, že decentralizace podle ní nemůže sloužit jako ochrana pro zpracování známých ukradených prostředků.

THORChain řekl ne

THORChain se rozhodl požadavek neakceptovat.

Protokol reagoval argumentem, že je decentralizovaný a permissionless podobně jako bitcoin, ethereum nebo BNB Chain. Pokud by tedy měl selektivně odmítat konkrétní adresy, vyvstává podle něj otázka, jakou odpovědnost by za transakce se známými ukradenými prostředky měly nést i další permissionless sítě.

Právě tady vzniká podle mě jeden z nejzajímavějších sporů současného kryptoměnového průmyslu.

Bitget řeší konkrétní krádež. THORChain řeší princip fungování permissionless protokolu.

Ukradené prostředky pokračují do bitcoinu

Rozhodnutí THORChainu přichází v době, kdy se ukradená aktiva skutečně pohybují mezi blockchainy.

Aktuální on-chain sledování ukazuje například směňování ETH spojeného s útokem za BTC prostřednictvím THORChainu. Nejde tedy pouze o teoretickou debatu. Blockchainové transakce ukazují, že část prostředků pokračuje přes cross-chain infrastrukturu do bitcoinových adres.

Současně se dál pohybují také ukradené XRP. Z původních přibližně 103 milionů XRP už bylo podle sledování přesunuto zhruba 54 milionů XRP v hodnotě kolem 83 milionů dolarů.

To ale stále není důkaz, že útočník všechny tyto prostředky prodal. On-chain data potvrzují přesuny a swapy, nikoli konečný osud každé mince.

Proč je THORChain tak důležitý

Tento případ ukazuje jeden z největších rozdílů mezi centralizovanými službami a DeFi.

Tether nebo Circle mohou u svých tokenů využít mechanismy zmrazení. U nativního XRP takovou možnost Ripple nemá. A u permissionless protokolu, jako je THORChain, zase není k dispozici jednoduchý centrální účet, který by mohl konkrétního uživatele jedním příkazem zablokovat.

To je přesně vlastnost, která je pro zastánce decentralizace žádoucí, ale současně vytváří problém ve chvíli, kdy systém začne využívat někdo, kdo právě ukradl stovky milionů dolarů.

Bitget mezitím obnovuje výběry

Dnes, 28. září, Bitget podle svého harmonogramu obnovuje BTC výběry. Ethereum má následovat 29. září, USDT 30. září a další tokeny, fiat a P2P služby 2. října. Bitget uvádí, že zranitelnost byla odstraněna a na vyšetřování stále spolupracují Mandiant a SlowMist.

Pro uživatele je to důležitý krok. Pro samotného útočníka ale znamená něco jiného. Hon na ukradené prostředky pokračuje napříč několika blockchainy.

Spor o hranice decentralizace

Podle mě je dnešní vývoj zajímavější než samotný přesun XRP. Ten jsme už sledovali. Nový je především otevřený spor o to, kde končí princip decentralizace a kde začíná odpovědnost za zpracování prokazatelně ukradených prostředků.

Pokud THORChain skutečně nemá nebo nechce mít mechanismus pro selektivní blokování adres, pak je jeho postoj z pohledu permissionless infrastruktury logický. Z pohledu Bitgetu a obětí krádeže je ale pochopitelně velmi frustrující.

Ještě důležitější je, že část prostředků už prokazatelně pokračuje přes cross-chain swapy směrem k bitcoinu. Čím více kroků útočník udělá, tím složitější bude případné získání peněz zpět.

A právě tady se podle mě bude v příštích letech rozhodovat o podobě DeFi. Dokáže zůstat skutečně permissionless a současně zabránit tomu, aby se stalo pohodlnou infrastrukturou pro praní ukradených kryptoměn?

Měl by THORChain v takovém případě blokovat adresy spojené s prokazatelně ukradenými prostředky, nebo by tím podle vás zradil samotný princip decentralizace?