ジェイ・フリーマンは、ただふらふらと歩き回っていたところ、人生で最大の一攫千金に偶然出くわしたのです。
フリーマン氏は、「ジェイルブレイク」（ユーザーがOSをカスタマイズできるように改造された状態）された携帯電話のOS向けソフトウェアを提供していることで知られるセキュリティ研究者です。 ある日、彼はたまたま、自身が共同設立したオープンソースソフトウェア企業「Orchid Labs」が利用しているイーサリアムブロックチェーン「Optimism」上で、取引を可能にする「スマートコントラクト」がどのように機能しているかを確認していました。 フリーマン氏は驚いたことに、仮想マシンの中に、ハッカーが数百万ドル、あるいは数十億ドルものデジタル通貨を生成し、盗み出すことを可能にしてしまうような、重大なソフトウェアのバグと思われるものを見つけました。
自身の作業内容を確認し、企業に及ぼしうる被害の詳細を明らかにするための「概念実証（PoC）」を作成した後、彼は自分が何か重要な手掛かりをつかんだと確信するようになりました。 彼は当初、セキュリティ会議で予定されていた講演の素晴らしいテーマになるだろうと考えていました。 その後、彼は、Optimismが最近、同社のコードに重大な脆弱性を見つけた人に対して、 という巨額の報奨金を提示していたことを知りました。 フリーマン氏は調査結果を提出しました。 Optimism verified the flaw’s existence and, a short time later, Freeman received $2 million.
「こんなこと、求めていなかったんです」と彼は言います。 「これはまるで、通りを歩いていて、穴に足を取られ、『こんな穴があるはずがない』と思い、誰にその穴を報告すべきか自問自答していたところ、その穴に関する情報提供者には数百万ドルの報奨金が用意されていることを知ったようなものでした。」 「そしたら、私は『やったー！』って感じです」
Web 3.0全体でバグ報奨金制度が急増しています
Web 2.0 の世界では、バグ報奨金制度はかなり以前から存在しています。 しかし、個々の支払額のほとんどは、5桁または6桁の範囲にとどまっていました。 Now, with (at press time) an estimated $920.6 billion worth of cryptocurrency swirling around the blockchain-fueled Web 3.0 realm, vendors are paying more.
それ以外にも、まだまだたくさんあります。 In fact, the total bug bounty market—valued at $223.1 million in 2020—is expected to grow 54% per year and reach $5.5 billion by 2027, according to All the Research (ATR), a market research firm.
Security researcher and white hat hacker Gerhard Wagner won a $2 million bug bounty, reportedly one of the largest bounties paid last year. 仮想通貨関連の報酬額が「爆発的に増加」していることに注目した後、彼はバウンティハンティングに参入し、昨年10月にPolygonのPlasma Bridgeに重大な脆弱性を発見しました。 The bug in the cross-chain bridge—the connection used to facilitate transactions between blockchains—could have allowed an attacker to withdraw up to $224 million of cryptocurrency. If done repeatedly, it might have been possible to drain all of Polygon’s estimated $850 million in holdings.
「驚きました」と彼は認めています。 「テストしていた攻撃が実際に機能するかどうかを確認するために概念実証を行ったのですが、実際に機能したときでさえ、『そんなはずはない』と繰り返し言っていました。」 とはいえ、どうなるか見てみたかったので、とにかくPolygonにバグを報告しました。 「彼らは対応し、問題を確認してくれました。その後、事態は急速に進展しました。」
[関連記事：ブロックチェーン間のブリッジが攻撃を受けている理由]
ブロックチェーン企業は、攻撃を受けた場合に被る損失がはるかに大きいため、最近ではソフトウェア企業が過去に支払っていた額よりも高い報奨金を支払う用意があります。 彼らは、自分たちの資金だけでなく、顧客がデジタルウォレットに預けている仮想通貨までも失う可能性があります。 Indeed, nearly $2 billion was lost in the first part of 2022 to cryptocurrency hacks. Major hacks dating back to late 2021 include: Poly Network ($611 million), Ronin Network ($625 million), Wormhole ($325 million), Nomad ($200 million), and Harmony ($100 million).
バウンティについて
こうした新たな種類の脅威を懸念するWeb 3.0 企業は、一般的にさまざまな方法で報奨金制度を設けています。 彼らの手法は、新興技術という「無法地帯」で実験を行っている企業のセキュリティ担当役員にとって、役立つ可能性があるでしょう。
「私は『そんなはずはない』と何度も言いました。」 とはいえ、どうなるか見てみようと思って、とにかくPolygonにバグを報告してみたところ……その後、事態は急速に進展しました。”ゲルハルト・ワグナー氏、セキュリティ研究者兼ホワイトハットハッカー
まず、自社だけでその作業を行うにはリソースが不足していると判断した後、企業は、自社の味方として活動するいわゆる「ホワイトハットハッカー」に、自社のコードの脆弱性を洗い出してもらうことにします。 彼らは、どれだけの損失が出る可能性があるかを試算し、経験則として、その潜在的な損失額の約 10％に相当する報奨金額を設定することがよくあります。
その後、多くの企業は、Immunefi、HackerOne、Intigritiなどのバグ報奨金プラットフォームを通じて報奨金の提示を行います。 研究者が何かを発見したと判断した場合、その概念実証を企業や報奨金プラットフォームに直接提出します。 彼らの仕事は評価され、その成果が認められれば報われます。
理論上、このシステムはうまく機能します。 しかし、すべてのホワイトハットが販売されているわけではありません。 フリーマン氏によると、一部の研究者は、報酬なしで数日あるいは数週間もコードのレビューに費やすというクラウドソーシングのモデルに不満を抱いているとのことです。 また、たとえ報奨金が明らかに獲得されたものであっても、企業が怪しげな言い訳をでっち上げて支払いを拒否するのではないかと懸念する声もあります。
しかし、支払額が伸び続けていることから、こうした懸念は薄れつつあるようです。 専門家によると、非公式な情報ではありますが、約 2,000 人のバグ報奨金ハンターがフルタイムで活動しているとのことです。 しかし、Intigriti社の報告によると、 2021年4月 から 2022年4月 までの間に、 50,000 名の研究者が同社のサービスに登録しました。これは 43％の増加に相当します。また、Intigriti社が最近実施した調査では、 回答した倫理的ハッカーの 66％が、バグハンティングを本業とするキャリアを検討していることが明らかになりました。
家内工業が台頭しつつあるのでしょうか？
バグ報奨金プラットフォーム自体も、この傾向の恩恵を受けています。 Investors recently pumped $24 million of funding into Immunefi, $22 million into Intigriti, and $49 million into HackerOne.
HackerOneのソリューション・アーキテクトであるデーン・シェレッツ氏は、バグ報奨金プログラムの勢いと報奨金の支払額は、当面の間、拡大し続けると予測しています。その理由として、ブロックチェーン企業 は、有能なセキュリティ専門家を十分な速さで採用できていないこと 、また、仮想通貨プラットフォームと連携するブロックチェーンベースのアプリケーションが、依然としてブラックハット（犯罪者）にとって魅力的な標的であり続けていることが挙げられます。
「一夜にして実現するとは思えませんが、確かにもっと多くの人が関わるようになるとは思います」と彼は言います。 「これらのプロジェクトはオープンソースであるため、コミュニティから脆弱性の報告を受け付ける仕組みが必要となります。」
この動きには、セキュリティ研究コミュニティの中でも意外な層が関与している可能性があります。それは、白帽（ホワイトハット）に転向するか、少なくとも「グレーハット」になることで、より多くの収益を得る機会を見出したブラックハットたちです。
最近のブロックチェーン関連の攻撃の一部では、ハッカーが奪ったものの大部分をブロックチェーン企業に返還しました。 観測筋によると、場合によっては、被害を受けた企業の黙認のもと、獲得した金額の一部を自分たちで手元に残していたと推測されており、これは一種の「逆報奨金」と見なすことができるでしょう。 ワグナー氏は、この件について「かなりの数の事例」を把握していると述べています。
[関連記事：ハッカーたちが社会貢献？ これは、今年初めに報じられたウクライナを題材にしたフィッシング詐欺の事例とは大違いです――ここでは、従業員がどのように騙されがちなのかをご紹介します。]
一方、シェレッツ氏は、ハッカーがリバースバウンティを受け取ることを意図して仮想通貨を盗んでいるとは考えていないものの、「特にハッカーに関する身元情報が明らかになったり、盗んだ仮想通貨の移動で問題に直面したりした場合、物事は自然とそういう方向に進んでいくようです」と述べています。
（Tornado Cash）、 、（Blender.io）、といった仮想通貨ミキサーサイトを通じて、悪意のあるユーザーが盗んだ仮想通貨を転売したり、資金洗浄したりすることは可能ですが、ブロックチェーン上の取引は記録され、法執行機関を含む誰もが閲覧できるため、実際には困難です。なお、Blender.ioについては、米国財務省が最近制裁措置を講じています。
「仮想通貨を現金に変えるのは面倒ですね」とシェレッツ氏は言います。
見せかけの態度
企業はこのことを承知しており、しばしば、和解的な言葉遣いや、起訴を見送るという提案、さらには善意の行動に対する何らかの報酬をほのめかすなどして、サイバー犯罪者に対し、金銭の返還を公然と訴えかけることがあります。 例えば、昨年、仮想通貨プラットフォームのPoly Networkがハッキングされた際、同社は 、報道によると 、攻撃者を「ミスター・ホワイトハット」と呼び、盗まれた資金の返還に対して500,000 ドルの報奨金を提示し、さらに彼を自社の「最高セキュリティ顧問」に任命することを申し出たとのことです。 資金の大部分は、 から へ返金されました。
「仮想通貨を現金に変えるのは面倒ですね。」HackerOneのシニア・ソリューション・アーキテクト、デーン・シェレッツ氏
今年初め、こうした動きを注視していた米国司法省は、和解の姿勢を示し、 「セキュリティ研究」を行う中で「善意」に基づいて行動していると判断したハッカーに対しては、 連邦法である「コンピュータ詐欺・濫用法（CFAA）」を適用しない方針を明らかにしました。
[関連記事：ロシアのサイバー戦争、西側の重要インフラを標的に]
もちろん、こうした融和策のいずれも、北朝鮮のような国家に雇われたハッカーたちの行動を翻させたり、抑止したりすることはまずないでしょう。米国当局は、ブロックチェーンネットワーク「ハーモニー」への攻撃の背後に北朝鮮が関与していたと主張しています。 国家によって、サイバー攻撃を仕掛ける動機は異なります。
HackerOneのシェレッツ氏は、バグ報奨金のプロセスや価格設定は依然として流動的であり、今後数ヶ月から数年の間に変化する可能性が高いと指摘しています。 「将来、損失の可能性や、さまざまな影響に対してどのような対価を支払うべきかについて、より深く検討されるようになるでしょう」と彼は述べています。 「懸賞金は今後も上昇し続けるのは当然のことだと思います。」 「ただ、何が支払われるのか、そしてどのように支払われるのかは、これまでとは違ってくるだろうと思います。」
