Что касается недавнего «инцидента с 50 BTC», который привлек широкое внимание, я уже отошел от операционного управления Solv и не участвовал в бизнесе BTC+. Когда это произошло, я ничего не знал о ситуации. Позже пользователь, назвавший себя пострадавшим, связался со мной и попросил переговорить с бизнес-командой. Поначалу я не до конца понимал, почему вывод этих активов задерживается так долго, и даже задавал команде вопросы от лица пользователя. Однако, узнав больше деталей, я понял, что ситуация сложная и судить о ней поверхностно нельзя.
После того как этот инцидент вызвал широкие обсуждения в сети, вполне естественно, что публика хочет получить больше информации. Поэтому, проконсультировавшись с ответственными командами и не нарушая ограничений конфиденциальности, я поделюсь тем, что мне известно.
В июле Solv публично сообщил об инциденте безопасности, связанном с BTC+, о чем многие уже знают. Но чего многие не знают, так это того, что депозит этих 50 BTC и последующая серия операций стали важными условиями, которыми воспользовался вектор атаки при этом инциденте безопасности.
Всего через три дня после этих операций произошла упомянутая атака. К счастью, Solv вовремя выявил и заблокировал ее, защитив средства пользователей BTC+.
Само по себе это не доказывает прямой связи между двумя событиями, но этого достаточно для запуска проверки безопасности более высокого уровня. Ни один ответственный проект не станет напрямую разрешать операции вывода, пока подобные риски безопасности не устранены. Поэтому команда риск-контроля Solv заблокировала эти средства и потребовала от пользователя объяснить ситуацию с этим активом.
Если бы на этом все закончилось, дело не было бы таким запутанным. Однако в ходе дальнейшей проверки вскрылись гораздо более сложные обстоятельства.
Обратите внимание: на протяжении всего процесса проверки и коммуникации Solv ни разу не требовал от этого пользователя прохождения какой-либо формы KYC и не требует верификации личности от обычных пользователей BTC+. Целью этой проверки было выяснить, совпадают ли данные о личности и объяснения по аккаунтам, предоставленные пользователем, контролируются ли соответствующие аккаунты этим человеком, и совпадают ли его объяснения ключевых операций с объективными записями. Иными словами, вопрос был не в том, «кто вы в реальности», а в том, «могут ли предоставленные вами службе риск-контроля сведения подтвердить друг друга и сформировать достоверное, проверяемое заявление о правах на этот актив».
Именно здесь возникла проблема. Команда риск-контроля сообщила мне, что в ходе дальнейшего общения с пользователем, назвавшим себя пострадавшим, он использовал несколько разных имен и онлайн-идентичностей, утверждая, что все они принадлежат ему. При этом его объяснения касательно использования соответствующих аккаунтов и ряда ключевых фактов противоречили друг другу.
Команда привела мне конкретный пример, который дает представление о масштабе проблем.
Объясняя свои операции 18 июля, пользователь заявил, что действовал так, потому что увидел аналогичную транзакцию у кого-то другого. Однако при проверке выяснилось, что упомянутая им транзакция произошла 20 июля — он физически не мог увидеть ее за два дня до этого. Затем он заявил, что действовал на основе информации с официального сайта Solv. Но на тот момент страница не содержала тех данных, которые он якобы видел, а его объяснения не совпадали ни с историей операций, ни с другими материалами того периода.
Подобные противоречия обнаружились не в одном месте, из-за чего риск-контроль, запущенный после инцидента безопасности, не только не был снят, но и породил новые подозрения, вынудив команду начать более глубокое расследование.
Позиция команды риск-контроля такова: независимо от давления общественности в X, они не могут игнорировать явно выявленные риски, пока эти подозрения и угрозы не будут устранены. Ограничения безопасности снять нельзя. Это их профессиональный долг и ответственность.
Такова ситуация, которую я недавно уточнил у команды Solv. Поскольку расследование сейчас идет вглубь по стандартным процедурам, многих деталей я уже не знаю. Лично я внимательно слежу за этим инцидентом и надеюсь на его скорейшее и справедливое разрешение.
Насколько мне известно, команда риск-контроля Solv никогда не отказывалась решать проблему через надлежащие каналы, такие как судебное разбирательство. Кроме того, если сторона не желает раскрывать свою настоящую личность напрямую Solv, она может официально связаться с проектом через доверенных представителей, например адвокатов.
Также я лично надеюсь, что действительно профессиональные и независимые агентства по безопасности обратят внимание на это дело и дадут независимую оценку и рекомендации. Solv отнесется к такому мнению с большим уважением.
Пользуясь случаем, хочу сказать еще несколько слов. Ниже приведены мои личные размышления, которые не представляют позицию Solv.
За это время мне написало множество людей: были нападки, оскорбления и угрозы, которые вполне можно назвать «кибербуллингом». Многие друзья связывались со мной не только чтобы узнать подробности инцидента, но и чтобы спросить, как мое моральное состояние.
Но все слишком много думают. На самом деле я считаю, что нынешнему поколению китайских криптопользователей в X не занимать чувства справедливости, и это радует. Я готов поставить им лайк. В последние годы, когда речь заходила о «проклятиях», мне всегда казалось, что китайскому криптосообществу не хватает жесткости, из-за чего мошенники — будь то наглые, мимикрирующие или изобретательные — слишком легко получают прибыль. Надеюсь, все продолжат ненавидеть зло и сильнее давить на тех, кто занимается мошенничеством, — это пойдет на пользу возрождению индустрии. В этот раз прожектор осветил нас. И хотя есть недопонимания, это показывает, что силы справедливости в отрасли растут.
Однако, сталкиваясь с таким сложным «темным лесом» крипты и нестандартными ситуациями, праведным пользователям X нужно чаще задавать вопрос «почему?».
Я всегда считал, что роман Лю Цысиня «Задача трех тел», помимо достижений в научной фантастике, внес еще один важный вклад: подарил современному китайскому языку новую крылатую фразу — «Там, где что-то кажется ненормальным,必有 подвох» (事出反常必有妖). Эта фраза особенно подходит для криптомира, где подвохов хоть отбавляй. Если видите что-то нелогичное, не спешите с выводами. Сделайте шаг назад, дайте себе время спокойно понаблюдать и подумать — так вы избежите серьезных ошибок.
Многие пользователи X сразу пришли обвинять Solv в присвоении, захвате или краже крупных средств клиентов. Хочу спросить: неужели вы не видите «ненормальности»?
Во-первых, Solv — не мелкий проект. Он работает шесть лет, его токен торгуется более чем на 30 крупных биржах. Даже в условиях текущего глубокого медвежьего рынка он функционирует нормально и запускает новые направления. Разве такой проект стал бы разрушать свою репутацию и будущее ради 50 BTC?
Во-вторых, заявления о том, что Solv «присваивает активы клиентов», далеки от реальности. Можно спорить о том, что риск-контроль Solv слишком строгий, но называть это «присвоением»? Что такое присвоение? Насколько я понимаю, этот актив остался нетронутым, его видно в блокчейне, он не переводился, не закладывался и не отчуждался. Депозиты и выводы других пользователей BTC+ работают в штатном режиме и никак не затронуты. Кто так присваивает активы клиентов? Просто заморозить их, полностью открыто в блокчейне, без переводов, микширования, расширения масштабов или перекладывания кому-то в карман — терпеть хейт и не заработать ни копейки — разве так работает присвоение? Проверять проект замороженными средствами под прицелом публики — какой проект выдержит такую проверку?
В-третьих, за шесть лет работы Solv установил публичные партнерские отношения с множеством институциональных игроков отрасли. Это значит, что проект обязан учитывать ограничения со стороны партнеров, пользователей, законов и судебных процедур. Названия и количество этих организаций можно проверить на официальном сайте Solv. Более того, бизнес Solv ориентирован не только на розничных пользователей (2C), но и сильно зависит от этой сети партнерств. От нее зависит успех или провал. Эти институты выступают мощным механизмом надзора и сдерживания. Как вы думаете, если бы Solv присвоил средства клиентов, партнеры стали бы это терпеть?
В-четвертых, Solv с первого дня работает открыто, без анонимности. Если бы мы действительно присвоили средства клиентов, разве мы могли бы просто сбежать? Когда Solv только запускался, во время DeFi Summer 2020, в моде были анонимные проекты, и некоторые инфлюенсеры утверждали, что настоящие DeFi-проекты должны быть анонимными. Но мы с самого начала решили работать открыто, чтобы показать ответственный подход. Включите здравый смысл: такие проекты, как Solv, обязаны соблюдать требования закона и решения суда. Мы не из тех анонимных или псевдонимных проектов, что могут раствориться в темном лесу. Нам некуда бежать, поэтому мы не станем жертвовать достоинством ради выживания.
Резюмируя: ваше праведное возмущение похвально, но вы слишком упростили ситуацию.
Наконец, хочу сказать несколько слов этому человеку. Несколько недель назад ты написал мне в DM с просьбой помочь продвинуть дело. Разве я не выслушал тебя внимательно? Разве я не передал команде все материалы, которые ты мне дал? Поначалу, не зная всех деталей, я торопил команду от твоего имени и даже спрашивал, почему они действуют так осторожно. Ты прекрасно это знаешь.
Именно потому, что позже я узнал больше, я все яснее понимал, почему команда риск-контроля не решалась разблокировать средства.
Думаю, тебе нужно сделать простую вещь: сотрудничать с командой риск-контроля, чтобы прояснить соответствующие факты. Разве это так сложно?
Если этот актив действительно твой, а твои объяснения правдивы, самое важное — не вести каждый день информационную войну против Solv в X. Вместо этого найди адвоката и используй достоверную, проверяемую личность, которая несет ответственность за свои слова, чтобы раз и навсегда все объяснить, а не постоянно менять версии ключевых фактов, сводя это сложное дело к формулировке «Solv без причины удержал мои 50 BTC».
Насколько мне известно, это не соответствует действительности.
Те, кто следит за мной в X, знают, что последние год-два я сосредоточен на AI, RWA и новых правилах регулирования в США. Бизнес Solv ориентирован не только на розничных пользователей, но и сильно зависит от этой сети партнерств.
