ホワイトハット救援のジレンマ：プロジェクト側に通知するだけか、それとも直接資産を移転するか？

原文タイトル：《盗賊から守るために数百万ドルの暗号をハッキングする自警団に会う》

原文著者：ロレンツォ・フランチェスキ・ビッキエライ

翻訳：郭倩雯，链捕手

3月9日の朝、LPはまだ夢の中にいたが、突然Telegramの電話を受け取った。彼女によれば、これは決して良い兆候ではない。彼女はボタンを留めたパジャマを着て、寝室のカーテンを開け、毛布からノートパソコンを引き出し、コンタクトレンズを装着した。今こそ他人の暗号通貨を救う時だ------まずはハッキングから始める。

LPは博士号を持つエンジニアで、シリコンバレーの法律事務所で働いていたが、現在はプライバシーを守るために本名を使用したくないネットセキュリティ会社RugDocとPaladin Blockchain Securityの創設者である。彼女は、暗号通貨が「善人の地下室に住む」といったシーンだけを意味するわけではないことを皆に知ってほしいと思っている。

電話をかけてきたのは彼女の同僚で、Fantasmという暗号通貨プロトコルの投資家が攻撃を受けていると伝えた。その時、そのプロトコルには数百万ドルの流動性資金が投資家によってロックされていた。

彼女が目を覚まし、ノートパソコンを開くと、2人の同僚と協力してハッカーを打ち負かし、できるだけ多くの暗号通貨を救おうとした。暗号通貨の世界では、ブロックチェーンが不可逆的であるため、盗まれた資金は通常永遠に消失する。資金を救うためには、まず泥棒より先にハッキングを行う必要がある。

LPは言った。「これらの強盗は非常に簡単な方法で脆弱性を利用でき、突然数百万ドルが盗まれてしまう。」

ハッカーとの競争が始まった。LPの同僚はハッカーが利用している脆弱性を発見し、その助けを借りてLPは一連のスマートコントラクトを書いた。目的は、ハッカーより先にその脆弱性を利用することだった。

「さて、私たちはあなたたちの命を救ったのだから、何かをくれるべきだ。」

ブロックチェーン上での行動は公開されているため、ハッカー事件はすぐにエスカレートした。LPと同僚のホワイトハットの行動は幾度となく波乱に見舞われ、ブロックチェーン上に記録された。ハッカーも彼らの活動に気づくことができた。この時、他の投機的なハッカーたちも起こっている事態を見て、機会を利用して大儲けを始めた。しかし最終的に、LPと彼女の2人の同僚は数万ドルを救出し、そのプロジェクトの脆弱性を修正し、ハッカーの攻撃を阻止した。しかし、LPによれば、ハッカーは依然として約800ETHを純利益として得ており、現在の価値は約150万ドルである。

「多くの人が損失を被ったが、これは最良の結末ではない。しかし、完全に取り返しのつかない状態には至らなかった。」とLPは言った。

LPによれば、全体の操作は約30分続いた。

ホワイトハットハッカー

「ホワイトハットハッカー」の出現は、インターネットの発明の初期に遡る。最初は西洋映画における「善人は白い帽子をかぶり、悪人は黒い帽子をかぶる」という設定から来ている。ネットセキュリティの世界では、ホワイトハットハッカーは正義のハッカーとして認識されている、例えばLPのように。

しかし、暗号通貨の世界では、白と黒の境界は明確ではない。

一部のハッカーは脆弱性を利用して資金を盗み、報酬さえ得られれば資金を返還すると公言する。例えば、Poly Networkで発生した奇妙なハッカー事件では、同社はハッカーに対して何度もホワイトハットと呼びかけ、その後彼らは盗まれた暗号通貨------約6億ドルを返還した。また、最近のMultichainハッカー事件も同様である。これらのケースにおけるハッカーが最初から白い帽子をかぶっていたかどうかは不明であり、彼らは盗んだ後に考えを変えたのかもしれない。結局、これらの資金は彼らの暗号財布にあり、注目を集め、プレッシャーが増す。

LPのような「ホワイトハットハッカー」も存在し、彼らは激しく攻撃を仕掛け、資金を救い、しばしば邪悪なハッカーと競争することになる。時には、ターゲットの財布や暗号通貨プロトコルのユーザーの同意なしに行動することもある。これらのハッカーの意図は常に、資金をその合法的な所有者に返還することである。

この言葉がこの文脈で初めて流行したのは2016年かもしれない。当時、自称ロビンフッドグループのボランティアプログラマーがDAOから数百万ドルのETHを盗んだハッカーと競争した。DAOは当時の暗号通貨分野で最も有望な組織の一つであった。その時、グループはハッカーを打ち負かし、約1500万ドルのETHを救った。この事件は広く「ホワイトハットハッカー事件」として知られている。翌年、このグループは現在ホワイトハットグループと名乗り、イーサリアムクライアントParityがハッキングされた後、2億ドルの暗号通貨を救った。

最近、暗号通貨プロトコルやユーザーに対するハッキング攻撃が増加する中で、この行動はますます頻繁になっている。ブロックチェーンネットワークセキュリティ会社Immunefiの報告によれば、今年の最初の3ヶ月間で、ハッカーと詐欺師は約123億ドルの暗号通貨を盗んでいる。

MotherboardはLPを含む5人にインタビューを行い、彼らはこのホワイトハット活動に直接関与した経験を語った。

ブロックチェーンセキュリティ会社Zellicの共同創設者スティーブン・トンは、Motherboardとのオンラインチャットで「Web3では、ホワイトハットハッカーは英雄として称賛されている。これは間違いなくウィンウィンの状況だ。人々はこの行動を認めている。なぜなら、私がやらなければ、誰がやるのか？少なくとも私はいくつかのブラックハットよりはマシだ。これが私たちの心構えだ。」と語った。

ホワイトハットハッカーが他人の財布やプロトコルを無断でハッキングする行為は、法的に正当かどうかは明確ではない。

暗号通貨問題を研究する弁護士プレストン・バーンは、Motherboardに対して「ホワイトハットハッカーは高貴だが、行動の対象の同意がない場合、この活動はリスクに満ちている。脆弱性を開示することは一つのことだが、どんな理由であれ第三者の資金所有者の権利を侵害することは別のことだ。もし対象者が何らかの理由でハッカーの行動に不満を持った場合、ハッカーは民事および刑事責任を負う可能性がある。」と述べた。

最終的な結果は、ホワイトハットハッカーによって無断で暗号通貨を奪われた組織や個人の考えに依存する可能性がある。

プレストンは言った。「ホワイトハット/グレーハットハッカーの問題は、活動の対象が脆弱性を知らせてくれたことに感謝するかもしれないが、怒り狂って警察に電話する人もいる。ホワイトハットハッカーがスマートコントラクトシステムの脆弱性を発見した場合、最良の方法は開発者に私的に通知することであり、それで終わりだ------あなたはスーパーマンではなく、世界を救う責任はない。」

ホワイトハットハッカーの行動は、ユーザーやハッカーの財布から暗号通貨を取得することを含み、これは物議を醸すハッカーへの反撃（hack back）という概念と比較できる。ネットセキュリティの分野では、反撃ハッキングは基本的にデータ漏洩の被害者が盗まれたファイルを自力で回復し、ハッカーの行動や身元情報を収集することを指す------ハッキング攻撃を行うために。これらの行動は物議を醸すが、ハッカーへの反撃は確かに存在し、法的リスクを考慮して秘密裏に行われる。

暗号通貨の世界の一部のホワイトハット活動の参加者は、訴訟のリスクを回避しようと試みている。

エミリアーノ・ボナッシはブロックチェーンネットワークセキュリティ研究者で、いくつかのホワイトハット活動に参加している。昨年のあるケースでは、暗号通貨投資プラットフォームPrimitive Financeのユーザーの財布が露出し、脆弱性を利用できる者は誰でもアクセスできる状態だった。

「私たちがそのプロトコルのユーザーを救う唯一の方法は、彼らの財布から資金を引き出し、通知することだった。だから、これはあなたが直面するかもしれない最悪の状況だ。なぜなら、基本的にユーザーの資金を引き出さなければならないからだ。」とボナッシは電話でMotherboardに語った。

ボナッシはImmunefiの創設者ミッチェル・アマドールや暗号通貨ネットワークセキュリティ会社Dedaubの研究者と共に働き、このケースの仲介者となった。最も重要なのは、ホワイトハットハッカーの事後調査によれば、Primitive Financeの社員も最初から救助に関与していたことだ。

LPとは異なり、ボナッシと彼の同僚は自分の財布を使って資金を保存せず、プロトコルの開発者にホワイトハット攻撃の方法を示しただけだった。

「私たちは彼らに実行方法を示し、実行スクリプトを開発し、シミュレーションを行い、私たちはあなたをサポートするので、あなたが実行してくださいと言った。もしすべてがうまくいかなければ、私たちが行動を起こす。」

一部のブロックチェーンネットワークセキュリティ研究者は、リスクが存在することを十分に認識している------自分の財布を使用し、財布の所有者やプロトコルの構築者の同意なしに脆弱な財布に攻撃を行うことはリスクに満ちている。

あるネットセキュリティ研究者はMotherboardのインタビューに匿名で応じ、他人の暗号通貨を救う際に財布を使用することがリスクであるため、過去にいくつかのケースでそうしたことがあると語った。

「これは非常に心配なことだ。だから、もしかしたら私は顔を出すべきではない。今、業界全体が少し緊張している。これが私がこれらの活動に積極的に参加しなくなった理由でもある。」とその研究者は電話でMotherboardに語った。

他の人々は全く自分の財布を使用しない。

「私の個人的な原則は、私は決して一人で取引を送信しないということだ。私は他人の資金を絶対に管理しない。Samczsun（仮名）は暗号通貨投資会社Paradigmで働くセキュリティ研究者で、彼は電話でMotherboardに「私の原則は、あなたに必要なすべての情報を提供し、できるだけ早く状況を把握してもらい、決定をあなたに任せることだ。私は自分で介入して全体を強制的に引き受けることはない。もしあなたが私に助けを求めるなら、私は助ける。もしあなたがこの問題を自分で処理したいのなら、私は喜んで一歩引いてあなたに処理させる。」と語った。

「私にとって、もし一時的に9桁の資産を取得し処分する必要があるなら、私はそのような事件を調査することにあまり乗り気ではない。」Samczsunは数回のホワイトハットハッカー活動に参加し、数百万ドルの暗号通貨を救った（Sushi Swap事件では3.5億ドル、Lien Finance事件では約1000万ドル）。「だから、可能であれば、私はこの状況を完全に避けるだろう。私は『善きサマリア人法』がブロックチェーンにも適用されるかどうかはわからない。この法律は、緊急時に危険や困難にある人々を助けることを奨励し、もし彼らが意図せずに傷害や死亡を引き起こした場合に訴えられることを心配する必要がない。」

プレストンはSamczsunのやり方が正しいと考えている。なぜなら、『コンピュータ詐欺および悪用法』は損失を引き起こす行為に対して罰則を科すからであり、誰かの財布から暗号通貨を取り出すことは詐欺ではないとしても。

「もしあなたが自分で処理することを決めたなら、疑いを避けるために、絶対にそうすべきではない。これは火遊びをしていることを忘れないでほしい。あなたは検察官の注意を引く可能性がある。」とプレストンは言った。

「私たちがそのプロトコルのユーザーを救う唯一の方法は、彼らの財布から資金を引き出すことだ。」

Chainalysisが先月開催した会議で、ニューヨーク郡地区検察官事務所のサイバー犯罪および身分盗用局の局長エリザベス・ローパーは、ホワイトハットハッカーは法的に「真のグレーゾーン」であり、検察官が注目したい分野かもしれない。

ローパーは言った。「もしそれが最終的にプラットフォーム上のすべてのユーザーと大量の資金を救った場合、そしてその行為を行った人がすぐに事件を公表した場合、私たちはそれを起訴するためにリソースを使用しないかもしれない。しかし、これは具体的なケースに基づいて議論する必要があることを再度強調したい。」

LPが無実の災難を心配するかどうか尋ねられたとき、彼女は通常、彼女が関与する暗号通貨プロジェクトの規模は小さく、アメリカ国外にあることが多いため、リスク評価を行い、助けを提供しても訴訟のリスクはないと考えていると答えた。

LPは言った。「訴えられる可能性は低いが、他人の資金を救う可能性は非常に高い。彼らが完全に破産しないようにすることは、彼らにとって非常に悪い日になるだろう。」

ホワイトハットハッカーにとって、より可能性の高い結果は、彼らが引き起こした「トラブル」に対して報酬を得ることである。Fantasm事件は、LPと彼女のRugDocチームの唯一の救助活動ではなかった。そのケースでは、彼らは報酬を要求しなかった。しかし他の時には、彼らは要求した。

「もしそれが大規模で悪名高いプロジェクトで、まだ資金が残っているなら、私たちは言うだろう。『さて、私たちはここであなたたちの命を救ったのだから、何かをくれるべきだ。』」とLPは言った。

ボナッシは、公式に脆弱性報酬がない場合、通常の標準報酬は盗まれた資金の10%であると述べた。しかし彼は過去に何の補償もなくホワイトハット攻撃に参加したこともあり、それは彼が関与する暗号通貨プロジェクトを助けたいと思っていたからであり、全体のエコシステムに貢献したいという気持ちからである。

ホワイトハットハッカーの活動は、ボナッシにとって潜在的なハッカーを阻止するだけでなく、誰もが参加できる学びの機会でもある。

報酬が大きくなるほど、研究者は奨励され、脆弱性を探し報告する意欲が高まる。

彼は言った。「私たちは最初に1万ドルを懸賞金として提示し、その後10万ドルになった。今では100万ドル、1000万ドルの脆弱性報酬がある。おそらく来年には、数億、数十億ドルの報酬を見ることになるだろう。なぜなら、Web3は他の業界とは異なり、ここではハッキング攻撃が数秒で発生し、無限の利益を得ることができるからだ。だからこそ、大規模なインセンティブを推進し、システムの安全を確保する必要がある。」