4 perguntas não respondidas sobre o hack da Bitfinex

Ontem recebemos notícias impressionantes da prisão de um casal de Nova York, Ilya “Dutch” Lichtenstein e Heather R. Morgan, por seu suposto papel na tentativa de lavagem de Bitcoin, que agora vale impressionantes US$ 4,6 bilhões. Esse Bitcoin foi roubado da exchange global Bitfinex em agosto de 2016 e, na meia década desde então, houve poucos insights adicionais sobre o ataque.

Esse longo silêncio (junto com o que chamaremos de fatores mais líricos ) gerou intenso fascínio pelas notícias de ontem. Mas, por mais que tenhamos aprendido, ainda há muita coisa que T sabemos, incluindo questões pendentes que podem levar a uma toca do coelho muito mais profunda. Algumas das incógnitas mais importantes envolvem o hack em si, as consequências comerciais do hack e o comportamento intrigante dos supostos lavadores durante o período em que são acusados ​​de tentar lavar o BTC roubado.

Este artigo foi extraído de The Node, o resumo diário da CoinDesk das histórias mais importantes em notícias sobre blockchain e Cripto . Você pode se inscrever para receber o boletim informativo completo aqui .

Como seria de esperar, lidar com questões não respondidas envolve alguma especulação. Fiz o meu melhor para destacar onde essa especulação aparece, mas estamos fora do mapa aqui em geral, então considere o que se segue em grande parte como uma série de hipóteses e experimentos mentais.

Um elemento crucial, mas facilmente esquecido, das acusações de ontem é que elas T alegam que Lichtenstein e Morgan foram responsáveis ​​pelo hack inicial da Bitfinex. As acusações T oferecem nenhuma teoria específica sobre como eles obtiveram a posse das chaves privadas que controlam as moedas. Uma possibilidade é que o casal tenha comprado o BTC do(s) hacker(es) inicial(is) com desconto. Outra é que eles estavam apenas agindo como agentes do(s) hacker(es), embora isso seja menos provável devido ao controle direto das chaves.

Há, no entanto, alguma razão circunstancial para acreditar que o casal poderia estar envolvido no hack e o Departamento de Justiça simplesmente T tinha provas suficientes para acusá-los de mais do que lavagem de dinheiro.

A evidência mais intrigante (embora novamente inteiramente circunstancial) é que Morgan parece ter sido totalmente obcecado pela “engenharia social”, um tipo de hacking que se concentra em comprometer pessoas em vez de código. ONE longa apresentação feita na série de eventos NYC Salon , ela descreveu métodos de engano e intimidação que usou em exercícios do mundo real para influenciar indivíduos e obter acesso a espaços e organizações.

Isso é particularmente intrigante dada a natureza do hack original, que envolveu o comprometimento das proteções de múltiplas assinaturas que passaram pelo provedor de segurança BitGo. No relatório da CoinDesk da época, Michael McSweeney escreveu que “para sacar uma quantidade tão grande de fundos, o BitGo provavelmente teria que assinar essas transações”, por causa de uma camada de segurança com múltiplas assinaturas implementada para usuários do Bitfinex. Isso levanta a possibilidade de a engenharia social estar envolvida no hack.

Observou-se que Morgan entrevistou Matt Parrella, ex-diretor de conformidade da BitGo, para uma coluna da Forbes de 2020 intitulada, surpreendentemente, “Especialistas compartilham dicas sobre como proteger sua empresa contra criminosos cibernéticos”. Isso é uma grande surpresa, mas pode não significar muito, visto que Parrella trabalhou apenas brevemente na BitGo em 2019 e 2020.

Uma das coisas realmente bizarras reveladas nos documentos de cobrança de ontem é que as autoridades afirmam que conseguiram apreender o BTC roubado depois de acessar as chaves privadas que Lichtenstein/Morgan havia armazenado em um serviço de nuvem. Manter as chaves privadas sempre off-line é um dos princípios de segurança mais fundamentais do gerenciamento de Cripto , e é implausível que alguém que se empenhe em lavar Cripto em uma escala tão grande T esteja ciente disso.

Existem algumas maneiras não conspiratórias de entender as chaves armazenadas online. Mais importante ainda, as próprias chaves foram criptografadas, o que você pode pelo menos imaginar alguém racionalizando como seguro.

O pesquisador de Cripto Eric Wall sugeriu ainda que, apesar das reivindicações nos documentos de cobrança, as chaves podem não ter sido descriptografadas pelas autoridades. Em vez disso, as chaves podem ter sido entregues pelos culpados quando confrontados. Isso também poderia explicar por que uma grande parte das moedas roubadas foi transportada em 1º de fevereiro . Talvez os lavadores acusados ​​estivessem demonstrando que as chaves funcionavam antes de entregarem o seu butim aos federais.

Também vale lembrar que o BTC em questão valia cerca de US$ 70 milhões na época do hack. Aumentou para vários milhares de milhões ao longo de cinco anos, possivelmente ultrapassando a capacidade dos culpados de atualizarem as suas práticas de segurança.

Infelizmente, temos que falar sobre Razzlekhan, a estranha e desagradável personalidade do rap de Morgan. Morgan inundou o TikTok e o YouTube com estranhas iscas de influência, incluindo muito rap, enquanto também escrevia conteúdo de negócios e tecnologia para a rede de colaboradores perenemente incompleta da Forbes. Lichtenstein publicou pelo menos uma postagem no Medium sobre Cripto e postou sobre Cripto no Twitter. Este conteúdo – alguns dos quais foram definidos como privados após as detenções – é apenas um segmento de uma extensa presença na web de Morgan e, em muito menor grau, de Lichtenstein.

A questão é simplesmente – por quê? A maior parte dessa atividade ocorreu depois que a dupla controlava uma fortuna em Bitcoin . Por que você estaria atrás de influência online se tivesse tanto dinheiro? (Morgan provavelmente estava ganhando menos de US$ 100 por cada contribuição da Forbes.)

No final, só podemos especular. Mas a resposta provavelmente envolve impulsos muito pessoais, especialmente o desejo de reconhecimento e respeito. Parece claro que Morgan e Lichtenstein queriam ser vistos como empresários sérios (embora criativos e estranhos).

Por exemplo, os dois se apresentaram como parceiros no Demandpath , um suposto fundo de investimento focado em “sistemas distribuídos, plataformas em nuvem e IA (inteligência artificial) orientada por dados”. Ainda T descobri informações sobre seus investimentos e, portanto, a coisa toda pode ter sido uma BIT de LARP – já que o “investimento anjo” geralmente ocorre em Cripto. Morgan também se representou como CEO de uma empresa de marketing por e-mail chamada Salesfolk.

O mais incrível é que Morgan T parou de postar mesmo quando as paredes estavam se fechando. No tribunal na terça-feira, o advogado de defesa teria dito que os réus sabiam que estavam sob investigação desde novembro. Mas em 2 de fevereiro, apenas uma semana antes de sua prisão, Morgan postou sobre um artigo de vendas business-to-business em que estava trabalhando para a revista Inc. dinheiro, porque o monitoramento tornava sua movimentação de BTC extremamente perigosa.

É importante notar que a presença online de Morgan parece distorcer a percepção do caso. Seu rap e interesse em engenharia social fazem dela uma suspeita intrigante. Mas numa audiência pré-julgamento ontem, um juiz de Nova Iorque fixou a fiança para Ilya Lichtenstein em 5 milhões de dólares, mas a fiança para Morgan em apenas 3 milhões de dólares, o que pode sugerir que o tribunal acredita que Lichtenstein tem mais responsabilidades e enfrenta consequências mais duras do que Morgan.

O hack original da Bitfinex ocorreu no início de agosto de 2016. Aqui está o relatório contemporâneo da CoinDesk sobre os Eventos . O hack, e especialmente os esforços da Bitfinex para se recuperar dele, geraram uma série de teorias de conspiração e especulações, muitas vezes envolvendo suspeitas de possível prevaricação por parte da Bitfinex e seus associados.

Após o hack, a Bitfinex tomou uma medida radical, impondo perdas aos seus usuários na forma de um “corte de cabelo” de aproximadamente 36% nos saldos. Aqueles que conseguiram o corte de cabelo receberam em troca “Tokens de Direitos de Recuperação” com o ticker BFX. Esses tokens foram totalmente reembolsados ​​e resgatados até 4 de abril de 2017 . A narrativa oficial era que a Bitfinex aumentou o volume de negociações na época e rapidamente recuperou o dinheiro que havia perdido no hack.

Veja também: Uma ponte chamada Tether | Opinião

Mas o token BFX foi denominado e pago em dólares americanos, não em BTC. O preço do Bitcoin praticamente dobrou entre o hack e o reembolso e, assim sendo, todas as coisas sendo iguais, os usuários da Bitfinex perderam dinheiro mesmo depois que seus tokens BFX foram resgatados.

Mas isso não é tudo: como comentaristas apontaram na época, o token BFX ajudou a reduzir ainda mais as responsabilidades da Bitfinex . Alguns detentores, sem confiança na capacidade de reembolso da Bitfinex, despejaram o token no mercado por apenas 49 centavos por dólar – e a bolsa reconheceu recomprar tokens pelo valor de mercado, o que significa que obteve um desconto ainda maior contra a responsabilidade do BTC roubado.

Isso, combinado com o fato de que o hack envolveu o comprometimento da segurança de múltiplas assinaturas, gerou especulações consideráveis ​​de que o hack pode ter sido um “trabalho interno”. Cães de guarda como a Bitfinex teriam especulado que o hack estava conectado à Confira posterior de deficiências na operação irmã da Bitfinex, Tether, e que o corte de cabelo e o token BFX podem ter ajudado a encobrir outros problemas na exchange. Ainda não vi nenhuma prova incontestável disso, mas o julgamento de Morgan e Lichtenstein poderá oferecer novas revelações sobre essas estranhas manobras.