ジェイ・フリーマンは、人生最大の給料日につまずいた時、気まぐれでした。
Freemanは、「jailbroken」（ユーザがOSをカスタマイズできるように変更）された携帯電話オペレーティングシステム用のソフトウェアを提供することで知られているセキュリティ研究者です。 ある日、彼は「スマートコントラクト」が、彼が共同設立したオープンソースのソフトウェア会社Orchid Labsが使用するEthereumブロックチェーンであるOptimismのトランザクションに電力を供給するためにどのように機能するかを調べていました。 Freeman氏の驚くべきことに、彼はハッカーがデジタル通貨で数百万ドル、さらには数十億ドルを創造し、盗むことを可能にする可能性のある仮想マシンで、重要なソフトウェアバグのように見えたものを見つけました。
自分の仕事をチェックし、会社に潜在的な害を詳述するためのPOC」を作成した後、彼は自分が何かに関わっていると確信しました。 彼は当初、セキュリティカンファレンスで提供する予定の講演で素晴らしいトピックになると考えていました。 その後、Optimismは最近、コードに深刻な脆弱性を見つけたすべての人に 莫大な報奨 金を提供したことを知りました。 フリーマンはFindingsを提出しました。 Optimism verified the flaw’s existence and, a short time later, Freeman received $2 million.
「私はこれを探していませんでした」と彼は言います。 「これは、通りを歩いたり、穴をつまずいたり、穴があるべきではないと考えたり、誰に報告すべきか自問したり、その穴に関する情報に対する数百万ドルの報酬があることを発見したりしたようなものです。 次に「Woo-hoo!」です
Web 3.0でバグ報奨金が爆発
バグ報奨金は 、Web 2.0 の世界ではかなり前から存在していました。 しかし、ほとんどの個人配当は5つまたは6つの数字に制限されました。 Now, with (at press time) an estimated $920.6 billion worth of cryptocurrency swirling around the blockchain-fueled Web 3.0 realm, vendors are paying more.
もっとたくさんあります In fact, the total bug bounty market—valued at $223.1 million in 2020—is expected to grow 54% per year and reach $5.5 billion by 2027, according to All the Research (ATR), a market research firm.
Security researcher and white hat hacker Gerhard Wagner won a $2 million bug bounty, reportedly one of the largest bounties paid last year. 暗号侵害関連のペイアウトの価値を「爆発する」と指摘した後、彼はバウンティハンティングに飛び込み、昨年10月にポリゴンのプラズマブリッジで重大な脆弱性を発見しました。 The bug in the cross-chain bridge—the connection used to facilitate transactions between blockchains—could have allowed an attacker to withdraw up to $224 million of cryptocurrency. If done repeatedly, it might have been possible to drain all of Polygon’s estimated $850 million in holdings.
「驚いた」と彼は認めています。 「テスト中の攻撃が実際に機能したかどうかを調べるためにPOCを行い、実際に機能した時でも」と言い続けました。 しかし、私はとにかくポリゴンにバグを送信して、何が起こっているかを確認しました。 彼らは対応し、問題を確認し、その後すぐに物事が移動しました。
[続きを読む: ブロックチェーン間の橋が攻撃されている理由]
ブロックチェーン企業は、攻撃された場合に多くの損失を被る立場にあるため、最近はソフトウェア企業よりも多くの報奨金を支払おうとしています。 彼らは自分のお金だけでなく、顧客がデジタルウォレットに置いた暗号通貨も没収する可能性があります。 Indeed, nearly $2 billion was lost in the first part of 2022 to cryptocurrency hacks. Major hacks dating back to late 2021 include: Poly Network ($611 million), Ronin Network ($625 million), Wormhole ($325 million), Nomad ($200 million), and Harmony ($100 million).
報奨の説明
Web 3.0 企業は、こうした新しい種類の脅威を懸念し、多くの点で報奨金を提供しています。 これらの技術は、新興テクノロジのワイルドウェストを実験している企業のセキュリティエグゼクティブにとって有用です。
「それは正しくない」と言い続けました。 しかし、私はとにかくポリゴンにバグを提出して、何が起こり、その後すぐに物事が移動するのを見ました。セキュリティ研究者でホワイトハットハッカーのGerhard Wagner氏
第一に、自社で仕事をするリソースが不足していると判断した後、企業は、自分の側で働くいわゆるホワイトハットハッカーにコードに穴をあけるよう依頼することにしましたコード。 彼らはどれだけのお金を失い得るかを推定し、経験ルールとして、潜在的な損失の約 10%に相当する報奨金の値に着地することがよくあります。
その後、ほとんどの企業は、Immunefi、HackerOne、Intigritiなどのバグ報奨金プラットフォームで提案を行います。 研究者が何かを見つけたと信じる場合、POCを企業や報奨金プラットフォームに直接提出します。 彼らの仕事は評価され、検証された場合に報われます。
システムは理論的にはうまく機能します。 しかし、すべてのホワイトハットが販売されているわけではありません。 Freeman氏によると、一部の研究者はクラウドソーシングモデルに悩まされており、数日または数週間を費やし、コードの無償レビューに費やしているという。 他の企業は、たとえそれが明らかに獲得されたとしても、企業が報奨金を拒否する疑わしい言い訳を思いつくことを心配しています。
しかし、このような懸念は、報酬が増大し続けるにつれて衰えているように見えます。 専門家によると、逸話的に、約 2,000 人のバグ報奨ハンターがフルタイムで働いています。 しかし、Intigritiは、 50,000 人の研究者が2021年4月 からまでの間にサービスにサインアップしたと報告しており2022年4月、これは 43%増加しました。Intigritiの調査では、調査対象の 倫理的ハッカーの66% がフルタイムのバグハンティングキャリアを検討していることが判明しました。
コテージ業界が出現?
バグ報奨金プラットフォーム自体も、このトレンドの恩恵を受けています。 Investors recently pumped $24 million of funding into Immunefi, $22 million into Intigriti, and $49 million into HackerOne.
HackerOneのソリューションアーキテクトであるDane Sherrets氏は、ブロックチェーン企業は 十分な速さで適格なセキュリティ専門家を雇用できず 、暗号化プラットフォームとInteractするブロックチェーンベースのアプリケーションは引き続きブラックハット（犯罪者）のターゲットを誘惑し続けているため、バグ報奨金の勢いと配当が当面の間構築され続けると予測しています。
「一夜にして起きているとは思っていないが、より多くの人々が関わっているのは間違いない」と彼は言う。 「これらのプロジェクトのオープンソースの性質上、Communityから脆弱性レポートを受け取る方法が必要です」
関与の中には、セキュリティ調査Communityの予期しないセグメントが含まれる場合があります。ブラックハットは、率直に、あるいは少なくとも「グレー」でより多くのお金を稼ぐ機会を認識しています。
最近のブロックチェーン関連の攻撃では、ハッカーはブロックチェーン企業に持ち帰ったものの大半を渡しました。 オブザーバーは、場合によっては、逆の報奨金として見なされるものについて、企業被害者の明らかな承認を得て、一部の買収を維持したと推測しています。 Wagnerは、このことを「いくつかのインスタンスをやめる」ことに気づいていると言います。
[続きを読む: ハッカーが返す? これは、今年初めのウクライナをイメージしたフィッシング詐欺の報告からかけ離れた泣き声です。労働者が騙されることはよくあります。]
一方、シャーレットは、ハッカーがリバース報奨金を受け取ることを意図して暗号侵害を盗むとは考えていないが、「特にハッカーに関する情報が明らかになったり、盗まれた暗号侵害の移動に問題が発生したりすると、自然に物事が展開される方法のように見える」と言います。
ブラックハットは、最近米国財務省が制裁した Tornado Cash やBlender.io強制 。
「暗号侵害をリアルマネーにするのは苦痛だ」とSherrets氏は言います。
公共の姿勢
企業はこのことを知っており、サイバー犯罪者には、和解的な言葉を使って金銭を返すよう公然と訴え、起訴を求めない提案をし、良い行動に対する何らかの報酬を示唆します。 たとえば、昨年暗号侵害プラットフォームPoly ネットワークがハッキングされたとき インスタンス 、攻撃者の「ホワイトハット氏」と呼ぶ ことに頼り 、盗まれた資金を解放するために500,000 ドルの報奨金を提供し、彼を「最高セキュリティアドバイザー」にするためにボランティアをしました。 ほとんどの資金が 返されました。
「仮想通貨をリアルマネーにするのは苦痛です」Dane Sherrets、シニアソリューションアーキテクト、HackerOne
今年初め、こうした行動に注目して、米国司法省はオリーブの拠点部を構え、「セキュリティ調査」の実施中に「善意で行動する」と決定したハッカーに対して連邦コンピュータ不正使用法(CFAA)を Enforceしないと 述べた。
[続きを読む: ロシアのサイバー戦争は西側の重要インフラを対象にしている]
もちろん、この攻撃のどれも、米国当局がハーモニーブロックチェーンネットワーク攻撃の背後にいたと主張する北朝鮮のような国家で働くハッカーを混乱させたり抑止したりする可能性は低いでしょう。 サイバー攻撃を引き起こす動機は国によって異なります。
HackerOneのSherretsは、バグ報奨金プロセスと価格設定はまだ流動的であり、今後数か月から数年で変化する可能性が高いと指摘しています。 「将来私たちが目にするであろうことは、損失の可能性とさまざまな種類の影響に支払うべきものについてより深く考えられています」と彼は言います。 「報奨金が増え続けるのは当然だと思います。 何が支払われ、どのように支払われているかは異なると思います。
