Kļūdu veltes platforma OpenBounty ir pakļauta citu drošības pētnieku kritikai pēc tam, kad tika atklāts, ka lietotāju iesniegtie kļūdu ziņojumi ir ievietoti publiskā blokķēdē.
Kad OpenBounty saņem pārskatus, tas automātiski ievieto to saturu darījumos Shentu — blokķēdē, kuru vada OpenBounty mātes organizācija Shentu Foundation.
Publiski publiskotā informācija ietver kļūdas draudu līmeni, potenciāli ievainojamā koda atrašanās vietu un ziņojuma autora komentārus.
"Publiski nopludināt potenciālās kļūdas ir ārprātīgi bezatbildīgi," DL News sacīja neatkarīgs drošības pētnieks Paskāls Kaversačo, kurš pirmais identificēja problēmu. "Jebkura melnādaka varētu pārbaudīt ziņojumus, lai tos izmantotu."
Blackhat attiecas uz hakeriem, kuri izmanto kļūdas ļaunprātīgiem nolūkiem, tostarp naudas, paroļu vai datu zādzībām.
OpenBounty uzskaita kļūdas, ko nodrošina vairāk nekā 30 dažādi kriptovalūtu projekti, kuru kopējā depozīta vērtība pārsniedz 11 miljardus USD.
OpenBounty neatbildēja uz DL News komentāriem.
Kļūdu balvas ir balvas, ko kriptovalūtu projekti piedāvā tiem, kuri veiksmīgi identificē kļūdas projekta kodā.
Kļūdu kompensācijas ir svarīgas, jo tās mudina izstrādātājus meklēt kļūdas atvērtā pirmkoda kodā un attur tos, kuri atrod kļūdas, tos izmantot naudas ieguvei.
Daudzi kriptogrāfijas projekti piedāvā balvas vairāk nekā 1 miljona ASV dolāru apmērā tiem, kuri identificē vissmagākās kļūdas.
Blēžu balvas
Drošības pētnieki arī sūdzas, ka OpenBounty bez viņu atļaujas uzskaita un pieņem ziņojumus par kļūdu piemaksām, ko nodrošina citas drošības firmas un kriptogrāfijas projekti.
Balvas no augstākās decentralizētās biržas Uniswap un aizdošanas protokola Compound ir starp tiem, kas uzskaitīti OpenBounty vietnē.
“Kā OpenZeppelin drošības padomnieks Compound DAO es varu apgalvot, ka viņi nav pilnvaroti protokola vārdā pārvaldīt kļūdu atlīdzību,” DL News sacīja Maikls Levelens, kriptovalūtu drošības firmas OpenZeppelin risinājumu arhitektūras vadītājs.
Atlīdzību iekļaušanai sarakstā bez atļaujas var būt juridiskas sekas, DL News sacīja Dmytro Matviiv, kļūdu novēršanas platformas HackenProof izpilddirektors.
Matviiv teica, ka kļūdu tirgus darbojas labi pārdomātā juridiskā procesā. Viņš teica, ka saskaņā ar šo sistēmu ir obligāti jāsaņem dāvinājuma izdevēja atļauja, pirms viņa balvas ievieto kļūdu atlīdzības platformā.
OpenBounty darbojas kā starpnieks starp tiem, kas atrod kļūdas, un projektiem, kas piedāvā balvas. Tāpēc ir grūti precīzi zināt, vai tas visus saņemtos kļūdu ziņojumus nosūta atbilstošajām pusēm un pilnībā atzīst tos, kuri tos atrada.
Dažās OpenBounty uzskaitītajās kļūdu atlīdzības programmās, piemēram, Uniswap, teikts, ka kļūdu ziņojumi ir jāiesniedz tieši Uniswap, nevis ar trešās puses starpniecību.
CertiK savienojums
Situācija OpenBounty ir jaunākā pretruna, kas saistīta ar kriptovalūtu auditoru CertiK.
Jūnijā CertiK tika nopietni kritizēts pēc tam, kad tas izmantoja kļūdu, lai izņemtu gandrīz 3 miljonus USD no kriptovalūtu biržas Kraken.
Lai gan CertiK vēlāk atgrieza līdzekļus, onchain ieraksti liecina, ka ar CertiK saistīta adrese nosūtīja daļu līdzekļu uz sankcionētu DeFi protokolu Tornado Cash.
CertiK pārstāvis DL News apstiprināja, ka Shentu, uzņēmums, kas kontrolē OpenBounty platformu, agrāk bija daļa no CertiK.
Tomēr kopš 2020. gada Shentu ir darbojies autonomi kā neatkarīga vienība.
Tomēr četrus gadus pēc sadalīšanas OpenBounty platformas kods joprojām ir saistīts ar domēniem, kuru nosaukumā ir CertiK.
Šādus domēnus neatkarīgi pārvalda Shentu, sacīja CertiK pārstāvis.
Tims Kreigs ir DL News DeFi korespondents. Vai jums ir padoms? Nosūtiet viņam e-pastu uz tim@dlnews.com.
