TL;DR
אני מזועזע, מזועזע ומתוסכל מכמה בקלות אפשר לעוות מושגים במאה ה-21. פריצת Bybit היא 99% תוצאה של רשלנות של צוות CEX ורק 1% מהמיומנות של ההאקרים.
עם זאת, התקשורת הפכה את הנרטיב: הם מדגישים כי המתקפה בוצעה לכאורה על ידי קבוצת לזרוס, למרות שאין הוכחות קונקרטיות (מלבד טענות לא מאומתות של זכקסבט וארהם).
להלן, אני מציג את נקודת המבט שלי בהתבסס על עובדות כדי לשמר אותן - שכן האירוע הזה ללא ספק ייכנס להיסטוריה.
עובדה מס' 1: לא היה פריצה
אם נבחין בבירור בין פריצה , הנדסה חברתית והתקפה ממוקדת , יתברר שלא התרחשה פריצה בפועל. תן לי לצטט :
"לא היה ניצול קוד. אין מפתחות פרטיים שדלפו. חותמי ה-multisig של Bybit עצמה אישרו את העסקאות. הם חשבו שהם חותמים על העברה שגרתית. במקום זאת, הם מסרו את כל הארנק הקר שלהם".
אז מה באמת קרה?
- צוות האבטחה של Bybit לא היה כשיר .
- הם התעלמו מהתקפת Radiant , שהיו לה וקטורי התקפה זהים.
- הם ניסו להעביר את האשמה על סייף, חברות אחרות ו"האקרים מרושעים".
ארקהאם ובייביט היו כל כך ממוקדים בנקודה השלישית שהם לא הצליחו לספק שום ראיה אמיתית.
עובדה מס' 2: הדמיה מחליפה את המציאות
כמעט מיד, Arkham שחרר גשש חזותי המציג את כל העסקאות הקשורות ל"פריצה": Arkham Explorer .
הבעיה? הדמיה זו מסיחה את הדעת מהבעיה האמיתית:
- Bybit עשה שלוש טעויות בלתי נסלחות, כלומר "פריצות" דומות אולי התרחשו בעבר, רק בקנה מידה קטן יותר.
- מבלי להשוות אירועי עבר, איננו יכולים להבין עד הסוף את היקף הנושא.
עובדה מס' 3: לזרוס הוא שעיר לעזאזל נוח
תחשוב על זה:
- המנכ"ל (שהוא החותם הסופי) לא הצליח לאמת עסקאות.
- צוות האבטחה אינו קיים או אינו יעיל לחלוטין.
- פיגוע דומה כבר אירע, והם התעלמו מסימני האזהרה.
- ועכשיו הם מצמידים את הכל בנוחות על לזרוס?
האם זה בכלל משנה מי נמצא ב"צד האפל" במקרה הזה? התשובה אולי לא ברורה, אבל לא - היא לא.
טייקים ראשוניים
רבים משבחים את בייביט על כך ש"אינו חוסם משיכות", אבל זה לא מעשה של רצון טוב - זו חובתם. הכספים ב-CEX שייכים למשתמשים, לא לבורסה.
בינתיים, בייביט העביר את האשמה בחוכמה על Safe, ואילץ אותם לפרסם הצהרה פומבית המבהירה שלא זוהו מעללים: Safe Statement .
לאחר מכן, בייביט נצמד לנרטיב של לזרוס, והכריז על תוכניות לערב את גורמי אכיפת החוק - תוך השמטת נוחיות של העובדה שהחקירה הראשונה צריכה להתמקד ברשלנות הפנימית שלהם.
הטיעון שלי
נראה לי חשוד באיזו מהירות הוכנסה קבוצת לזרוס לסיפור הזה. זה או:
- ישות מתוחכמת ביותר הפועלת ללא רבב מבלי להשאיר עקבות.
- או קבוצה ש"כולם רואים ויודעים עליה", ובכל זאת היא ממשיכה איכשהו לתפקד בסודיות.
התרחיש השני נראה מאוד לא סביר.
אבל הכי חשוב, בואו נהיה כנים:
- Bybit אחראית ב-99% ל"פריצה" זו בשל אי שמירה על אבטחה פנימית וחיצונית וסירובה ללמוד ממתקפות העבר.
- Bybit עירב כוזב חברות Web3 אחרות במתקפה זו מבלי להציג ראיות.
- Bybit ממשיך לסלף עובדות, ומציג זאת כפריצה במקום רשלנות גרידא.
אני לא משתמש ב-Bybit או בכל CEX אחר כי אני מאמין שביזור הוא צורת האבטחה הטובה ביותר. אבל אני גם מסרב לתת לתקשורת ליצור נרטיב שקרי - כזה שבו Bybit הוא הקורבן , שירותי Web3 אשמים ו"האקרים מרושעים" הם האשמים היחידים.
בייביט הוא האשם היחיד שהוכח באירוע זה. תפקידו של כל אחד אחר נותר להוכיח או להפריך.
(וזכרו, גם Mt.Gox דיבר הרבה אבל אף פעם לא באמת סיפק משהו משמעותי).
