Hacker descobre bug na rede Optimism e recebe recompensa de 2 milhões de dólares

[tg88]

Recentemente falamos sobre propostas de recompensas para devolver dinheiro após hacks, mas nesta ultima semana aconteceu um caso um pouco diferente. Um Hacker do bem encontrou uma vulnerabilidade na rede da Optimism e reportou para os desenvolvedores, ele postou esse artigo descrevendo o problema encontrado e também o desfecho da história onde foi recompensado com mais de 2 milhões de dólares:

https://www.saurik.com/optimism.html

[Disruptivas]

Nem apenas de hackers malvados se faz a comunidade cripto, né?

Bem legal ver esses casos e acho que funciona como inspiração pros outros hackers. A comunidade e os projetos tem tanta grana, que realmente não vejo muito sentido em hacker algo, ficar com moedas rastreadas pra sempre e hiper procurado no mundo inteiro, quando tu pode ser recompensado com dinheiro limpo, ficar com uma fama boa e com consciencia super limpa e tranquila. Acho que é um bom padrão a ser seguido.

[bitmover]

Nem apenas de hackers malvados se faz a comunidade cripto, né?

Bem legal ver esses casos e acho que funciona como inspiração pros outros hackers. A comunidade e os projetos tem tanta grana, que realmente não vejo muito sentido em hacker algo, ficar com moedas rastreadas pra sempre e hiper procurado no mundo inteiro, quando tu pode ser recompensado com dinheiro limpo, ficar com uma fama boa e com consciencia super limpa e tranquila. Acho que é um bom padrão a ser seguido.

Concordo que é mil vezes melhor ter dinheiro limpo, e usar o seu conhecimento para a evolução da humanidade.
Mas um hacker que roubar um endereço bitcoin não vai ser hiper procurado no mundo todo. Ele manda a grana pra um mixer e pronto, pega uma grana limpinha pra ele (a nao ser q ele roube centenas de milhares de btc, que os mixers nao aguentam "limpar").

Agora se ele roubar duma outra chain, ou roubar uma stablecoin, realmente podem bloquear o endereço dele... lembrando que até o ETH fez um hardfork quando foi hackeado né. Mas, de forma geral, isso não acontece não e o hacker sai com a dinheiro.

Mas o melhro é ele ser um "hacker do bem" mesmo, e ganhar o dinheiro com bounties e recompensas.

[joker_josue]

Normalmente os hackers que fazem isso, são hackers que já são conhecidos, e por isso não tem medo de dar a cara. São os mesmos que participam em concursos da Microsoft e Google, que dão prémios monetários a quem apresentar falhas nos sistemas.

Felizmente, ainda encontramos alguns assim. Esperamos que este exemplo, seja motivador para outros.

Mas infelizmente, a maioria dos hackers já não são desse estilo, e são bastante gananciosos.
O problema é que eles já fizeram tanta porcaria, que quando derem a cara, podem ser descobertos das porcarias que fizeram.

[Disruptivas]

Concordo que é mil vezes melhor ter dinheiro limpo, e usar o seu conhecimento para a evolução da humanidade.
Mas um hacker que roubar um endereço bitcoin não vai ser hiper procurado no mundo todo. Ele manda a grana pra um mixer e pronto, pega uma grana limpinha pra ele (a nao ser q ele roube centenas de milhares de btc, que os mixers nao aguentam "limpar").

Uma pergunta que talvez seja bem besta, mas os mixers não tem NENHUM tipo de filtro? Nem quando envolve grandes casos da comunidade? Porque sei que existe um tipo de ´ética´ quando são hackers muito grandes que fodem muito as coisas e o pessoal realmente não aceita e não lida. Provavelmente não faz sentido (ou talvez sim), que esses mixers tenham um filtro para situações muito drásticas e polemicas?

Com essa pergunta, estou assumindo que os mixers são ferramentas de proteção de direitos individuais não armas de criminosos e são só usados para coisas bads e nessa premissa, faria sentido esse filtro para coisas conhecidas e erradas

[joker_josue]

Uma pergunta que talvez seja bem besta, mas os mixers não tem NENHUM tipo de filtro? Nem quando envolve grandes casos da comunidade? Porque sei que existe um tipo de ´ética´ quando são hackers muito grandes que fodem muito as coisas e o pessoal realmente não aceita e não lida. Provavelmente não faz sentido (ou talvez sim), que esses mixers tenham um filtro para situações muito drásticas e polemicas?

Não sei se tem filtros. Mas mesmo tendo, o mais certo é que quando se descobre os endereços associados ao roubo, o criminoso provavelmente já fez passar pelo mixer boa parte do dinheiro. Logo fica tudo mais complicado.

[bitmover]

Uma pergunta que talvez seja bem besta, mas os mixers não tem NENHUM tipo de filtro? Nem quando envolve grandes casos da comunidade? Porque sei que existe um tipo de ´ética´ quando são hackers muito grandes que fodem muito as coisas e o pessoal realmente não aceita e não lida. Provavelmente não faz sentido (ou talvez sim), que esses mixers tenham um filtro para situações muito drásticas e polemicas?

Com essa pergunta, estou assumindo que os mixers são ferramentas de proteção de direitos individuais não armas de criminosos e são só usados para coisas bads e nessa premissa, faria sentido esse filtro para coisas conhecidas e erradas

Se o mixer for bom, ele passa qualquer bitcoin pelo serviço mesmo.
Pq quem decide qual dinheiro ele poderia ou não passar? Seria um tipo de censura.
O chipmixer mesmo foi usado no hack dos fundos da binance. Já era sabido quando Mixaram.

https://cointelegraph.com.br/news/binance-hackers-bombard-chipmixer-to-launder-at-least-4-836-btc
 Hackers da Binance bombardeiam Chipmixer para branquear pelo menos 4.836 BTC

Pelo menos 4.836 BTC roubados de Binance em maio de 2019 foram lavados através do site Chipmixer.

[Disruptivas]

Se o mixer for bom, ele passa qualquer bitcoin pelo serviço mesmo.
Pq quem decide qual dinheiro ele poderia ou não passar? Seria um tipo de censura.
O chipmixer mesmo foi usado no hack dos fundos da binance. Já era sabido quando Mixaram.

Não tenho certeza se entendo como censura Mover, adoraria pensar junto sobre.

Por exemplo, o mixer pode ser usado para por indivíduos por vários motivos legítimos, tais como:

- fugir das sanções de um país
- ocultar identidade de presos políticos, emigrantes e pessoas com problemas devido aos seu posicionamentos politicos, sexuais etc
-não entregar 27% ao governo sem usufruir de nenhum grande benefícios
- esconder patrimonio em caso de uma separação em que meu parceiro tem direito a 50% das minhas coisas sem nunca ter ajudado na construção desse patrimonio
e etc

ou seja, assumi-se que as pessoas possam ter os mais diversos motivos legítimos para usar um mixers, fazendo valer seu direito a privacidade.

Entretanto, a partir do momento que SE SABE que o fundo é derivado de um roubo, não estamos mais falando de uma ferramenta para fazer valer um direito, mas na facilitação de um roube que vai causar prejuízo a terceiros.

Censura pra mim é qualquer pessoa cercear outra de seus direitos básicos. 'impedir' a concretização de um roubo não é censura, é simplesmente ética.

Entendo que talvez seja tecnicamente impossível impedir qualquer um de entrar e fazer o mixer, mas em termos teóricos, não entendo como censura, no máximo uma questão tecnologica que torna inviável problear sem afetar o bom funcionamento do sistema para aqueles que usam de forma legitima

[sabotag3x]

motivos legítimos

Ai entram julgamentos pessoais.. Muitas pessoas continuariam julgando que evasão fiscal não é um motivo legítimo e que você está "causando prejuízo a terceiros"..

Se parar para filtrar, não passa nada.. Então sou mais um que pensa que tem que ser livre para tudo mesmo, infelizmente..


Indo um nível acima, o próprio Bitcoin é assim, ninguém congela fundos como fazem com stablecoins, e por isso tem valor.

[joker_josue]

Entendo que talvez seja tecnicamente impossível impedir qualquer um de entrar e fazer o mixer, mas em termos teóricos, não entendo como censura, no máximo uma questão tecnologica que torna inviável problear sem afetar o bom funcionamento do sistema para aqueles que usam de forma legitima

Tecnicamente não é impossível, basta um mixer não fazer trocas de endereços assinalados como oriundos de roubos.

Mas, repara esse tipo de situação, alem de não resolver cria vários procedentes.

Não resolve, porque na darkweb pode surgir dezenas de mixer que fazem o mesmo (se é que já não existem - nunca pesquisei). Logo, é indiferente usar o ChipMixer ou outro conhecido. Nada impede de usar mixers que não sigam essa etica.

Depois, surge a questão: quem é que vai classificar como legitimo ou não? Basta olhar para alguns dos exemplos que deste, para percebermos como isso é complicado de classificar.

- fugir das sanções de um país

Exemplo: Caso a Rússia invada a Ucrânia, os EUA tem preparado uma serie de sanções. Será legitimo a Rússia usar mixers para ultrapassar essas sanções?
Para os russos sim, para os ucranianos não.

-não entregar 27% ao governo sem usufruir de nenhum grande benefícios

Isso não é fugir aos impostos? Por bem ou mal que seja usados esses fundos, é o dever de um cidadão.
E legitimo usar mixers para fazer isso? Para o Estado não, para as pessoas sim.

- esconder patrimonio em caso de uma separação em que meu parceiro tem direito a 50% das minhas coisas sem nunca ter ajudado na construção desse patrimonio

Um casamento é um "contrato", se ambos assinaram um acordo em que o que fosse adquirido por um, era dos dois. Não importa quem conseguiu esses bens, os bens são dos dois. Em caso de rotura desse "contrato", as coisas devem seguir o acordo tomado. Por isso é que existem vários regimes de casamentos, para evitar esse tipo de situação. É legitimo, uma das partes fugir ao acordo que fez? Para um será legitimo, para outro não.


Isto para não falar, em situação em que poderia começar a surgir abusos desses bloqueios. Não podemos esquecer, que os mixers tem donos, e esses donos são pessoas, que podem mudar de ideias, opiniões, ideologias, etc.

Enfim, se entramos neste campo fica complicado. Por isso como o sabotag3x comentou, para o bem ou para o mal, é melhor ficar assim mesmo.

[Disruptivas]

Eu também acho que no final talvez o melhor - pro geral- é não haver um filtro. Mas ainda sigo pensando que existe um ''diferencial'' nesse caso de roubo dos fundos. Porque todos os casos que citamos envolvem a controversia de duas partes:

- caso do imposto [estado vs sociedade]
- caso do casamento [maridos/esposas]
[...]

Mas no caso do roubo, eu não vejo controversia, não vejo como alguém possa achar subjetivo a culpa e errado a açao. E até o hacker, não acho que ele pense que ele tem o DIREITO e está certo em fazer, mas pensa que é economicamente interessante pra ele e se as exchanges nao se cuidam e as pessoas deixam dinheiro ali para serem roubadas, que sejam roubadas. Mas eu não consigo ver controvercia ética na 'censura' a mixar um endereço que todos sabem que roubou fundos de outras pessoas. Pode existir motivos tech ''se eu censuro aqui, abro um ponto de falha no sistema'', ok! Mas não é uma controversia ética

[alegotardo]

Recentemente falamos sobre propostas de recompensas para devolver dinheiro após hacks, mas nesta ultima semana aconteceu um caso um pouco diferente. Um Hacker do bem encontrou uma vulnerabilidade na rede da Optimism e reportou para os desenvolvedores, ele postou esse artigo descrevendo o problema encontrado e também o desfecho da história onde foi recompensado com mais de 2 milhões de dólares:

https://www.saurik.com/optimism.html

Que caso bacana de se ler.

Existe hoje muitas pessoas e empresas que vivem disso... encontrar brechas e seguir um "código de conduta" para reportar isso de forma adequada afim de causar o menor dano possível ao invés de tomar proveito, e geralmente são muito bem recompensados.

Agora... ver isso acontecer no mundo cripto, onde muitas vezes o hacker, mesmo que do bem, pode sair com uma boa grana sem nunca ser descoberto, é algo ainda raro de se ver.

[bitmover]

- fugir das sanções de um país
- ocultar identidade de presos políticos, emigrantes e pessoas com problemas devido aos seu posicionamentos politicos, sexuais etc
-não entregar 27% ao governo sem usufruir de nenhum grande benefícios
- esconder patrimonio em caso de uma separação em que meu parceiro tem direito a 50% das minhas coisas sem nunca ter ajudado na construção desse patrimonio
e etc

ou seja, assumi-se que as pessoas possam ter os mais diversos motivos legítimos para usar um mixers, fazendo valer seu direito a privacidade.

Entretanto, a partir do momento que SE SABE que o fundo é derivado de um roubo, não estamos mais falando de uma ferramenta para fazer valer um direito, mas na facilitação de um roube que vai causar prejuízo a terceiros.

Você citou um monte de crimes e assuntos polememicos e está agora chamando eles de motivos legítimos. Mas será que são mesmo?

O que seria fugir de sanções? Se a sancao for uma multa por poluir um rio, ainda pode?

Ocultar a identidade de preso politico. Todo preso políticos são bonzinhos? E se for um terrorista que matou 50 pessoas, ainda é legítimo?

As vezes os 27.5% de imposto são usados pra construção de creches e hospitais. Vamos tirar dinheiro de hospitais pra pessoa comprar um iate? Tudo pode ser visto de outra forma (não concordo com imposto alto,apenas levantando que existe outro ponto de vista)

Esse caso de ocultar patrimônio em separação conjugal então... Casou com união de bens pq quis. Vai mudar as regras no final do jogo? Eu não acho isso legítimo.

Enfim, de qualquer forma, acho q um mixer não deve fazer nenhum desses julgamentos de valor. Afinal, ele não tem nem capacidade de julgar essas coisas.


Sera que alguém no mundo tem capacidade de sair um juiz desse tipo.?

[joker_josue]

Sera que alguém no mundo tem capacidade de sair um juiz desse tipo.?

Ora aqui esta um ponto que é sempre complicado.

Isto porque normalmente as pessoas julgam com base no conhecimento que tem sobre o assunto, que muitas vezes é limitado e condicionada as informações ditas por outros, e com base naquilo que acham correto ou errado.

Por isso é necessário uma linha padrão para julgar os casos, caso contrario, situações semelhantes julgamentos diferentes.
Se a justiça que temos nos tribunais, as vezes já correr mal, apesar de uma linha condutora, imaginem serviços que não tem essa linha.

Nesse sentido, serviços independentes não devem fazer julgamentos, e ser independentes. No mínimo, caso exista uma ordem judicial, atuar em conformidade.

[TryNinja]

Tudo isso é relativo. Se você acha que X, Y, ou Z são crimes horrendos que mereciam pena de morte, vai continuar sendo a sua opinião. É por isso que os mixers são agentes neutros cuja missão é manter o estado fungível do Bitcoin. Ponto.

Olhar de onde vem o Bitcoin seria admitir que eles fazem analises dos depósitos, e talvez até guardem o IP de quem o faz. O que garante que eles não vão te julgar um criminoso e te denunciar? Imagina um governo decidindo que todo mundo que está na "lista" NÃO pode usar o mixer, e que o seu administrador tem que bloquear os Bitcoins? "Seriam apenas criminosos", alguns diriam. Mas olha o estado do Canadá e os protestos...

[l3pox]

discussão muito legal!
o etherscan por exemplo coloca um flag em endereços envolvidos em hacks e um aviso sobre qual hack ou phishing esse endereço estava envolvido

apesar de isso também gerar algumas controvérsias em casos específicos por exemplo alguns endereços que exploraram um bug do opensea em que listagens antigas podiam ser reativadas, isso possibilitou que eles comprassem alguns NFTs blue chips muito mais baratos.

Em geral acho que a melhor política será o mixer não coletar nenhum dado mesmo e não censurar endereços mesmo que oriundos de roubos pq isso abriria uma brecha para casos legítimos serem bloqueados também (exemplo: estados autoritários)
mas é um debate interessante...

caminhando junto com a ideia de que desenvolvimento tecnológico tem que vir também com desenvolvimento ético.

[joker_josue]

caminhando junto com a ideia de que desenvolvimento tecnológico tem que vir também com desenvolvimento ético.

Acho que mais cedo ou mais tarde, tem de ser criadas sistemas que permitam um maior alerta para este tipo de situações.

Talvez apenas com sinalizações, permitindo saber-se que aquele endereço foi monitorizado como ter estado envolvido em problemas, cabe depois ao utilizador tomar a sua decisão.

Mas será sempre complicado de surgir algo. Apesar de achar que devia haver algum tipo de "analise" nestes casos, mas vejo isso difícil de acontecer.

[l3pox]

caminhando junto com a ideia de que desenvolvimento tecnológico tem que vir também com desenvolvimento ético.

Acho que mais cedo ou mais tarde, tem de ser criadas sistemas que permitam um maior alerta para este tipo de situações.

Talvez apenas com sinalizações, permitindo saber-se que aquele endereço foi monitorizado como ter estado envolvido em problemas, cabe depois ao utilizador tomar a sua decisão.

Mas será sempre complicado de surgir algo. Apesar de achar que devia haver algum tipo de "analise" nestes casos, mas vejo isso difícil de acontecer.

isso já existe hoje em dia, a etherscan mesmo faz flag de endereços envolvidos em phishing e hacks

mas falo de outra coisa na verdade
de conseguirmos chegar num desenvolvimento ético suficiente para que golpes parem de acontecer e as pessoas ajam da maneira correta,
em geral não é difícil concordar que roubar e matar é errado, e só seria aceitável em situações muito específicas, casos de legítimas defesa por exemplo.
será que é utopia demais pensar que um dia conseguiremos cooperar e criar um ambiente livre desses desvios?

[joker_josue]

mas falo de outra coisa na verdade
de conseguirmos chegar num desenvolvimento ético suficiente para que golpes parem de acontecer e as pessoas ajam da maneira correta,
em geral não é difícil concordar que roubar e matar é errado, e só seria aceitável em situações muito específicas, casos de legítimas defesa por exemplo.
será que é utopia demais pensar que um dia conseguiremos cooperar e criar um ambiente livre desses desvios?

Difícil enquanto na vida real, as pessoas continuarem a sentir-se injustiçadas socialmente e economicamente.

No virtual? Só quando isso for possível na vida real.

[alegotardo]

Olhar de onde vem o Bitcoin seria admitir que eles fazem analises dos depósitos, e talvez até guardem o IP de quem o faz. O que garante que eles não vão te julgar um criminoso e te denunciar? Imagina um governo decidindo que todo mundo que está na "lista" NÃO pode usar o mixer, e que o seu administrador tem que bloquear os Bitcoins? "Seriam apenas criminosos", alguns diriam. Mas olha o estado do Canadá e os protestos...

Comentário interessante...
Eu á havia pensado uma vez... existe tantos scams, golpes e roubos em geral que descaradamente foram parar na CM, qual seria o problema de pelo marcar/bloquear aqueles onde se tem certeza de que o dinheiro que ali está entrando é de fato fruto de algo criminoso?

Mas está certo, se começar a fazer isso agora para oque é "certamente errado", abriria margens para amanhã depois alguém dizer: "Mas aquilo também era fruto de roubo e eles não bloquearam aí a credibilidade do CM já cai pensando que poderiam estar baneficiando alguém, teriam que criar uma equipe só para ficar investigando isso, até o ponto em que estaria escolhendo oque bloquear com base no que "pensam que seria errado".

Que continuem trabalhando da forma como está!