Щодо нещодавнього «інциденту з 50 BTC», який привернув широку увагу: я вже відійшов від щоденного управління Solv і не був залучений до бізнесу BTC+. Коли це сталося, я нічого не знав про ситуацію. Пізніше користувач, який називає себе постраждалим, звернувся до мене з проханням поговорити з бізнес-командою. Спочатку я не до кінця розумів, чому цей актив так довго затримують, і навіть ставив команді запитання від імені користувача. Проте, дізнавшись більше деталей, я зрозумів, що питання складне й оцінювати його поверхово не можна.
Після того як цей інцидент викликав широкі обговорення в мережі, цілком природно, що публіка хоче знати більше. Тому, порадившись із відповідальними командами та не порушуючи обмежень щодо конфіденційності, я поділюся тим, що мені відомо.
Solv публічно повідомив про інцидент безпеки з BTC+ у липні, і багато хто про це вже знає. Але чого більшість не знає, так це того, що депозит цих 50 BTC та подальша низка операцій стали важливими умовами, які використав вектор атаки під час цього інциденту безпеки.
Лише через три дні після цих операцій сталася згадана атака. На щастя, Solv вчасно виявив і заблокував її, захистивши кошти користувачів BTC+.
Саме по собі це не доводить прямого зв'язку між двома подіями, але цього достатньо, щоб запустити перевірку безпеки вищого рівня. Жоден відповідальний проєкт не дозволить операції з виведення коштів, поки такі ризики безпеки не усунено. Тому команда ризик-контролю Solv захистила ці кошти та попросила користувача пояснити ситуацію навколо цього активу.
Якби на цьому все закінчилося, справа не була б такою складною. Однак під час подальшої перевірки з'ясувалися значно складніші обставини.
Зверніть увагу: протягом усього процесу перевірки та комунікації Solv жодного разу не вимагав від цього користувача проходити будь-яку форму KYC і не вимагає верифікації особи від звичайних користувачів BTC+. Метою цієї перевірки було з'ясувати, чи збігаються надані користувачем дані про особу та пояснення щодо акаунтів, чи дійсно відповідні акаунти контролюються цією людиною, і чи відповідають її пояснення ключових операцій об'єктивним записам. Іншими словами, питання полягало не в тому, «хто ви насправді», а в тому, «чи підтверджують одне одного дані, які ви надали команді ризик-контролю, і чи формують вони достовірну та верифіковану заяву про права на цей актив».
Ось тут і виникла проблема. Команда ризик-контролю повідомила мені, що під час подальшого спілкування з користувачем, який називає себе постраждалим, ця людина використовувала кілька різних імен та онлайн-ідентичностей, стверджуючи, що всі вони належать їй. Водночас її пояснення щодо використання відповідних акаунтів і кількох ключових фактів суперечили одне одному.
Команда навела мені конкретний приклад, який дає змогу побачити загальну картину проблем.
Пояснюючи свої операції від 18 липня, користувач стверджував, що діяв так, бо побачив, як хтось інший здійснив аналогічну транзакцію. Однак після перевірки з'ясувалося, що згадана транзакція відбулася 20 липня; він не міг побачити її за два дні до того. Потім він заявив, що діяв на основі інформації з офіційного сайту Solv. Але на той момент сторінка не містила тих даних, які він нібито бачив, а його пояснення не збігалися ні з історією операцій, ні з іншими матеріалами того періоду.
Подібні суперечності виникали не в одному місці, через що ризик-контроль, спровокований інцидентом безпеки, не лише не було знято — він породив нові підозри, змусивши команду ризик-контролю розпочати глибше розслідування.
Позиція команди ризик-контролю така: незважаючи на тиск громадськості в X, вони не можуть ігнорувати чітко виявлені ризики, поки ці підозри та загрози не будуть усунені. Обмеження безпеки не можуть бути зняті. Це їхній професійний обов'язок і відповідальність.
Усе вищезазначене — це те, що я нещодавно уточнив у команди Solv. Оскільки розслідування зараз глибоко триває за стандартними процедурами, багато чого я вже не знаю. Особисто я дуже уважно стежу за цим інцидентом і сподіваюся на швидке та справедливе вирішення.
Наскільки мені відомо, команда ризик-контролю Solv ніколи не відмовлялася вирішувати проблему через належні канали, такі як судовий розгляд. Крім того, якщо сторона не бажає розкривати свою справжню особу безпосередньо Solv, вона може офіційно зв'язатися з Solv через довірених представників, наприклад адвокатів.
Також я особисто сподіваюся, що справді професійні та незалежні агенції з безпеки звернуть увагу на цю справу й нададуть незалежні висновки та рекомендації. Solv дуже поважатиме такі думки.
Користуючись нагодою, хочу сказати ще кілька слів. Наведене нижче — мої особисті роздуми, і вони не представляють позицію Solv.
За цей час багато людей писали мені, включно з нападами, образами та погрозами, що, мабуть, уже можна назвати «кібербулінгом». Багато друзів зверталися не лише щоб дізнатися про сам інцидент, а й щоб висловити занепокоєння моїм психологічним станом.
Але всі занадто багато думають. Насправді я відчуваю, що цьому поколінню китайських криптотвіттерян притаманне загострене почуття справедливості, і це заспокоює. Я з радістю ставлю їм лайк. Протягом останніх років, коли йшлося про «лайку», мені завжди здавалося, що китайській криптоспільноті бракує наполегливості, дозволяючи шахрайським схемам — чи то нахабним, чи то замаскованим, чи то винахідливим — заробляти надто легко. Сподіваюся, усі й надалі ненавидітимуть зло та сильніше тиснутимуть на шахраїв, адже це піде на користь відродженню індустрії. Цього разу прожектор спрямували на нас. І хоча є непорозуміння, це свідчить про те, що сили справедливості в індустрії зростають.
Однак, стикаючись із таким складним крипто-темним лісом і нетиповими ситуаціями, справедливим твіттерянам варто частіше запитувати «чому?».
Я завжди вважав, що роман Лю Цисіня Проблема трьох тіл, окрім своїх науково-фантастичних досягнень, зробив ще один важливий внесок: подарував сучасній китайській мові новий крилатий вислів — «Де щось здається дивним, там обов'язково є підступ». Ця фраза ідеально підходить для криптосвіту, де підступів забагато. Якщо бачите щось нелогічне, не поспішайте з висновками. Відступіть на крок, дайте собі час спокійно поспостерігати й подумати — так ви уникнете серйозних помилок.
Багато твіттерян одразу прийшли звинувачувати Solv у розкраданні, конфіскації або привласненні великих клієнтських коштів. Хочу запитати: невже ви не бачите «дивини»?
По-перше, Solv — не маленький проєкт. Він працює шість років, його токен лістинговано на понад 30 провідних біржах. Навіть у нинішньому глибокому ведмежому ринку він нормально функціонує та запускає нові напрямки. Хіба такий проєкт знищить свою репутацію та майбутнє заради 50 BTC?
По-друге, твердження, що Solv «привласнює клієнтські активи», дуже далеке від правди. Можна сперечатися, що ризик-контроль Solv занадто суворий, але називати це «привласненням»? Що таке привласнення? Наскільки я розумію, цей актив залишається недоторканим, його видно в блокчейні, він не був переведений, закладений чи проданий. Депозити та виведення інших користувачів BTC+ працюють у штатному режимі й не постраждали. Хто так привласнює клієнтські активи? Просто заморозити їх, повністю відкрито в блокчейні, без переказів, мікшування, розширення масштабів чи перекладання в кишеню — просто терпіти образи й не заробляти жодної копійки — хіба так виглядає привласнення? Тестувати проєкт замороженими коштами під наглядом публіки — який проєкт витримає таку перевірку?
По-третє, як проєкт із шестирічною історією, Solv має публічні партнерські відносини з багатьма інституціями галузі. Це означає, що він обов'язково стикається з численними обмеженнями з боку партнерів, користувачів, законів та судових процедур. Ви можете перевірити назви та кількість цих інституцій на офіційному сайті Solv. Більше того, бізнес Solv орієнтований не лише на роздрібних користувачів (2C), а значною мірою залежить від цієї партнерської мережі. Успіх чи провал залежить саме від неї. Ці інституції є потужним механізмом нагляду та стримування. Якби Solv привласнив клієнтські кошти, хіба ці партнери б це стерпіли?
По-четверте, Solv із першого дня працює відкрито, без анонімності. Якби ми справді привласнили клієнтські кошти, хіба ми могли б утекти? Коли Solv тільки починав, під час DeFi Summer 2020 року, багато анонімних проєктів були в тренді, і деякі інфлюенсери стверджували, що справжні DeFi-проєкти мають бути анонімними. Але ми з самого початку вирішили працювати відкрито, щоб продемонструвати відповідальний підхід. Будьте реалістами: такі проєкти, як Solv, мусять дотримуватися вимог законодавства та судових рішень. Ми не з тих анонімних чи псевдонімних проєктів, що можуть розчинитися в темному лісі. Ми не можемо втекти, тому не робитимемо того, що змушує жертвувати гідністю заради виживання.
Підсумовуючи: ваше праведне обурення заслуговує на повагу, але ви занадто спростили ситуацію.
Насамкінець хочу сказати кілька слів цьому другові. Кілька тижнів тому ти написав мені в DM із проханням допомогти просунути справу. Хіба я не вислухав тебе уважно? Хіба я не передав команді всі матеріали, які ти мені дав? Спочатку, не маючи повного розуміння ситуації, я тиснув на команду від твого імені й навіть питав, чому вони такі обережні. Ти це добре знаєш.
І саме тому, що пізніше я дізнався більше, я дедалі краще розумів, чому команда ризик-контролю не наважувалася розблокувати кошти.
Думаю, тобі потрібно зробити просту річ: співпрацювати з командою ризик-контролю, щоб прояснити відповідні факти. Хіба це так складно?
Якщо цей актив дійсно твій, а твої пояснення правдиві, найголовніше, що тобі слід зробити, — це не вести щоденну війну громадської думки проти Solv в X. Натомість знайди адвоката та скористайся достовірною, верифікованою особою, яка несе відповідальність за свої слова, щоб раз і назавжди все пояснити, а не постійно змінювати версії ключових фактів, зводячи цю складну подію до «Solv без причини затримав мої 50 BTC».
Наскільки мені відомо, це не відповідає дійсності.
Ті, хто стежить за мною в Twitter, знають, що протягом останнього року-двох моя справжня увага зосереджена на AI, RWA та нових регуляторних правилах США. Бізнес Solv орієнтований не лише на роздрібних користувачів, а значною мірою залежить від цієї партнерської мережі.
