Het pGALA-incident: tegenstrijdige verklaringen van Huobi en pNetwork

Begin november 2022 ontstond onrust over een incident met pGALA, de versie van GALA op BNB Chain. De eerste berichten spraken van een mogelijke aanval waarbij tokens met een nominale waarde van ruim een miljard dollar waren uitgegeven. Dat betekende niet dat er een miljard dollar bij Gala Games was gestolen.  Volgens het marktbeeld van destijds daalde GALA ongeveer 20%. Bij het schrijven van het artikel noteerde de token onder $0,035, bijna 96% onder het record van een jaar eerder. Dit zijn historische koersen.  

Een blockchainadres maakte ongedekte pGALA-tokens aan op BNB Smart Chain, met een gemelde nominale waarde van meer dan een miljard dollar. Een deel werd verkocht op de decentrale beurs PancakeSwap. Volgens pNetwork leverde het leeghalen van de liquiditeitspool 12.977 BNB op, destijds ongeveer $4,5 miljoen waard. De nominale tokenwaarde was dus geen opbrengst van een miljard dollar. De uitgifte en verkoop zetten de pGALA-koers onder druk.  Nadat blockchainbeveiliger PeckShield de beweging signaleerde, bevestigde pNetwork dat het achter de tokenuitgifte zat. 

pNetwork, een protocol voor routering tussen blockchains, stelde dat het een veiligheidsrisico bij pGALA had ontdekt. Het noemde zijn ingreep een preventieve whitehatoperatie om misbruik te voorkomen. Volgens het protocol was de bridge verkeerd geconfigureerd en moest de kwetsbare PancakeSwap-pool worden leeggehaald om het geld te beschermen. Dit was de eigen uitleg van pNetwork voor de omstreden operatie.

pNetwork herhaalde dat het kwaadwillend misbruik wilde voorkomen en kondigde een plan aan om de oude pGALA te vervangen door een nieuwe token.  De nieuwe tokens zouden de volgende dagen kosteloos worden verdeeld onder daarvoor in aanmerking komende houders, op basis van momentopnamen van hun saldi. Dit was een plan, geen bevestiging dat iedereen al was vergoed. pGALA was de BNB Chain-versie van GALA op Ethereum, de gebruikstoken van het Web3-gamingnetwerk Gala Games.

pNetwork verzekerde dat de GALA-tokens op Ethereum en het onderpand in de bridge veilig waren. Die verklaring betekende niet dat de ongedekte pGALA in de markt hun waarde hadden behouden.

Gala Games was echter ontevreden over de aanpak en betwistte betrokkenheid bij het besluit om de tokens uit te geven. Jason Brink, hoofd blockchain bij Gala Games, zei tegen The Defiant dat zijn team geen deel van dat proces was en dat pNetwork zelfstandig opereerde. Dit week af van de lezing van pNetwork over onderlinge coördinatie.

Huobi betwist de uitleg van een whitehatoperatie

De cryptobeurs Huobi, zoals die in 2022 heette vóór de naamswijziging naar HTX in 2023, beschuldigde pNetwork van een kwaadwillende aanval uit winstbejag in plaats van een beschermende operatie. Dat standpunt stond in een verklaring.

Huobi stelde dat pNetwork onvoldoende had gedeeld over zijn voornemen de kwetsbaarheid in het smart contract te benutten en ongeveer 55,6 miljard pGALA uit te geven. Ook zouden beurzen onvoldoende tijd hebben gekregen om te reageren.  Volgens Huobi was de reactietijd korter dan een uur en had geen doeltreffend contact vanuit Gala of pNetwork met de beurs plaatsgevonden. Huobi zei de ondersteuning van de betreffende token tijdelijk te hebben gestaakt. pNetwork gaf een andere lezing van de communicatiepogingen. 

Huobi verwees naar de technische analyse achteraf en schreef de verkeerde configuratie toe aan een fout van een pNetwork-engineer bij de verwerking van een sleutel in het smart contract, meer dan twee maanden eerder.  De beurs stelde ook dat er geen bewijs was dat een derde de kwetsbaarheid zou benutten en beschuldigde pNetwork van winstbejag. De door Huobi gestelde afwezigheid van bewijs toonde op zichzelf niet aan dat er geen risico bestond.  Huobi noemde de omvangrijke tokenuitgifte onnodig en ongerechtvaardigd en beweerde dat verbonden adressen samen meer dan $10 miljoen hadden verdiend. Dit was een beschuldiging van de beurs, geen onafhankelijk vastgestelde nettowinst van pNetwork.

Huobi stelde dat pNetwork niet gerechtigd was de pool met aanvankelijk ongeveer $400.000 aan liquiditeit leeg te halen. pNetwork antwoordde dat het de verzamelde BNB wilde teruggeven aan daarvoor in aanmerking komende houders, tegen ongeveer 0,00000109 BNB per ongedekte pGALA, als onderdeel van zijn herstelplan.  Huobi bleef de operatie omschrijven als een vooraf geplande kwaadwillende aanval met winst als doel en verwierp de uitleg dat het om bescherming ging. 

Volgens Huobi was de preventieve uitleg een dekmantel voor winstbejag en het vermijden van juridische gevolgen. pNetwork betwistte die beschuldigingen; ze worden hier niet als rechterlijke vaststelling gepresenteerd. 

De beurs vroeg om teruggave van de bedragen die zij als ongerechtvaardigde winsten beschouwde en bood een beloning van een miljoen dollar. Zij verklaarde in dat geval zelf geen juridische stappen te zullen ondernemen. Dat was een aanbod van de beurs, geen algemene juridische immuniteit. 

pNetwork noemde de beschuldigingen van Huobi onwaar, stelde te goeder trouw en samen met Gala Games te hebben gehandeld en kondigde aan juridische stappen tegen de beurs te willen nemen. Het artikel beslechtte de tegenstrijdige verklaringen van de partijen niet.