SEC “geeft op” in rechtszaak tegen Ripple-bestuurders

Het was een veelbewogen week. In de rechtszaak tegen Sam Bankman-Fried zagen we één van de meest belastende getuigenissen tot dusver. Rond het lightningnetwerk ontstond ophef vanwege een ‘gevaarlijke situatie’. En in de zaak tussen de SEC en Ripple scoort de verdediging opnieuw. Dit, en meer, in deze News!

Kwetsbaarheid in lightningnetwerk

Afgelopen vrijdag stuurde Antoine Riard een vurig bericht naar een mailinglijst voor lightning-ontwikkelaars. “Met directe ingang stop ik mijn betrokkenheid bij de ontwikkeling van het lightningnetwerk en de daaraan gerelateerde implementaties”, schreef Riard. Zijn bericht sloeg in als een bom, niet in de laatste plaats omdat Riard al jarenlang een prominente plek inneemt in de technische gelederen rond bitcoin.

De afgelopen maanden werkte Riard achter de schermen aan de verdediging tegen een nieuwe klasse van replacement cycling attacks. In zo’n situatie spannen twee of meerdere kwaadwillenden samen om de bitcoins van een goedwillende deelnemer aan het netwerk te ontfutselen.

Ben je dan per definitie de klos als je van het lightningnetwerk gebruikmaakt? Dat niet, zeggen andere ontwikkelaars. Dat komt omdat er heel wat bij komt kijken om deze kwetsbaarheid succesvol uit te buiten. Aanvallers moeten minimaal twee kanalen met hun slachtoffer openen, daar een betaling doorheen laten lopen en voor langere tijd, zonder dat hij het doorheeft, zijn transacties dwarszitten.

Desondanks is voor Riard de maat vol. Hij heeft er moeite mee dat mitigerende maatregelen zo’n aanval enkel kunnen bemoeilijken, in plaats van volledig voorkomen. “Enkel door de basislaag aan te passen, komen we tot een solide oplossing”, schrijft Riard. Met zijn ontslag maakt hij niet alleen tijd vrij om zich daarop te kunnen focussen, maar geeft hij ook een duidelijk signaal af: “De les is dat bij het ontwerpen van een bitcoinprotocol de eerste poging goed moet zijn. Het is daarna lastig om problemen op te lossen.”

Bij alle belangrijke lightning-implementaties (LDK, Eclair, LND, en Core-Lightning) is de defensie intussen opgeschroefd. Daardoor is dit type aanval in de praktijk moeilijk uitvoerbaar.