A CertiK-linked platform posts bug reports publicly. Researchers say it’s ‘insanely irresponsible’

DL News · 2024-07-02T16:11:42.000Z

Bug bounty platform OpenBounty is under fire from fellow security researchers after it was discovered that the bug reports submitted by users are posted on a public blockchain. When OpenBounty receives reports, it automatically posts their contents in transactions on Shentu, a blockchain run by OpenBounty’s parent organisation, the Shentu Foundation. Details made public include the bug’s threat level, the location of the potentially vulnerable code, and comments from the report’s author. “Leaking potential bugs publicly is insanely irresponsible,” Pascal Caversaccio, an independent security researcher who first identified the issue, told DL News. “Any blackhat could screen the reports to exploit them.” Blackhat refers to hackers who exploit bugs for malicious purposes, including theft of money, passwords, or data. OpenBounty lists bug bounties provided by over 30 different crypto projects with a combined deposit value of more than $11 billion. OpenBounty did not respond to DL News’ requests for comment. Bug bounties are rewards offered by crypto projects to those who successfully identify bugs in a project’s code. Bug bounties are important because they incentivise developers to look for bugs in open-source code, and dissuade those who find bugs from exploiting them for monetary gain. Many crypto projects offer bounties of over $1 million to those who identify the most severe bugs. Piggybacking bug bounties Security researchers also complain that OpenBounty lists and accepts reports for bug bounties provided by other security firms and crypto projects without their permission. Bounties from top decentralised exchange Uniswap and lending protocol Compound are among those listed on the OpenBounty website. “As OpenZeppelin’s security advisor to the Compound DAO, I can say with authority that they are not authorised to be managing a bug bounty on the protocol’s behalf,” Michael Lewellen, head of solutions architecture at crypto security firm OpenZeppelin, told DL News. Listing bounties without permission could have legal consequences, Dmytro Matviiv, CEO of bug bounty platform HackenProof, told DL News. Matviiv said the bug bounty market operates within a well-thought-out legal process. Under this system, he said, it’s mandatory to obtain a bounty issuer’s permission before placing their bounty on a bug bounty platform. OpenBounty acts as a middleman between those finding bugs and the projects offering bounties. So it’s hard to know for certain if it is passing along all the bug reports it receives to the proper parties and is fully crediting those who found them. Some bug bounty programmes listed by OpenBounty, such the one run by Uniswap, say that bug reports must be submitted directly to Uniswap, and not via a third party. The CertiK connection The situation at OpenBounty is the latest controversy linked to crypto auditor CertiK. In June, CertiK was roundly criticised after it used a bug to withdraw almost $3 million from crypto exchange Kraken. Although CertiK later returned the funds, onchain records show that a CertiK-linked address sent some of the funds to sanctioned DeFi protocol Tornado Cash. A CertiK spokesperson confirmed to DL News that Shentu, the entity that controls the OpenBounty platform, used to be part of CertiK. Since 2020, however, Shentu has operated autonomously as an independent entity. Still, four years after the split, code in the OpenBounty platform still links to domains with CertiK in their name. Such domains are independently managed by Shentu, the CertiK spokesperson said. Tim Craig is a DeFi Correspondent at DL News. Got a tip? Email him at tim@dlnews.com.

Platforma de recompense pentru erori OpenBounty este criticată de colegii cercetători în domeniul securității, după ce s-a descoperit că rapoartele de erori trimise de utilizatori sunt postate pe un blockchain public.
Când OpenBounty primește rapoarte, postează automat conținutul acestora în tranzacții pe Shentu, un blockchain condus de organizația-mamă a OpenBounty, Shentu Foundation.
Detaliile făcute publice includ nivelul de amenințare al erorii, locația codului potențial vulnerabil și comentariile autorului raportului.
„Scurgerile de erori potențiale în mod public este nebun de iresponsabilă”, a declarat pentru DL News Pascal Caversaccio, un cercetător independent de securitate care a identificat prima problemă. „Orice pălărie neagră ar putea verifica rapoartele pentru a le exploata.”
Blackhat se referă la hackeri care exploatează erori în scopuri rău intenționate, inclusiv furtul de bani, parole sau date.
OpenBounty listează recompensele de erori oferite de peste 30 de proiecte cripto diferite, cu o valoare combinată a depozitului de peste 11 miliarde USD.
OpenBounty nu a răspuns solicitărilor de comentarii ale DL News.
Recompensele pentru erori sunt recompense oferite de proiectele cripto celor care identifică cu succes erorile în codul unui proiect.
Recompensele pentru erori sunt importante deoarece stimulează dezvoltatorii să caute erori în codul open-source și îi descurajează pe cei care găsesc erori să le exploateze pentru câștiguri monetare.
Multe proiecte cripto oferă recompense de peste 1 milion de dolari celor care identifică cele mai grave erori.
Recompense de bug-uri de piggyback
Cercetătorii de securitate se plâng, de asemenea, că OpenBounty listează și acceptă rapoarte pentru recompensele de erori furnizate de alte firme de securitate și proiecte criptografice fără permisiunea lor.
Recompensele de la bursa descentralizată de top Uniswap și protocolul de împrumut Compound se numără printre cele listate pe site-ul OpenBounty.
„În calitate de consilier de securitate al OpenZeppelin al Compound DAO, pot spune cu autoritate că nu sunt autorizați să gestioneze o recompensă pentru erori în numele protocolului”, a declarat Michael Lewellen, șeful arhitecturii soluțiilor la firma de securitate cripto OpenZeppelin, pentru DL News.
Listarea recompenselor fără permisiune ar putea avea consecințe legale, a declarat Dmytro Matviiv, CEO al platformei de recompense pentru bug HackenProof, pentru DL News.
Matviiv a spus că piața de recompense pentru bug funcționează într-un proces legal bine gândit. În cadrul acestui sistem, a spus el, este obligatoriu să obțineți permisiunea unui emitent de recompense înainte de a plasa recompensă pe o platformă de recompensă de erori.
OpenBounty acționează ca intermediar între cei care găsesc erori și proiectele care oferă recompense. Prin urmare, este greu de știut cu siguranță dacă transmite toate rapoartele de erori pe care le primește părților corespunzătoare și îi creditează pe deplin pe cei care le-au găsit.
Unele programe de recompensă de erori listate de OpenBounty, cum ar fi cel condus de Uniswap, spun că rapoartele de erori trebuie trimise direct către Uniswap, și nu printr-o terță parte.
Conexiunea CertiK
Situația de la OpenBounty este cea mai recentă controversă legată de cripto auditorul CertiK.
În iunie, CertiK a fost aspru criticat după ce a folosit o eroare pentru a retrage aproape 3 milioane de dolari din schimbul criptografic Kraken.
Deși CertiK a returnat ulterior fondurile, înregistrările onchain arată că o adresă legată de CertiK a trimis o parte din fonduri către protocolul DeFi sancționat Tornado Cash.
Un purtător de cuvânt al CertiK a confirmat pentru DL News că Shentu, entitatea care controlează platforma OpenBounty, a făcut parte din CertiK.
Din 2020, însă, Shentu a funcționat autonom ca entitate independentă.
Totuși, la patru ani de la despărțire, codul din platforma OpenBounty încă se conectează la domenii cu CertiK în numele lor.
Astfel de domenii sunt gestionate independent de Shentu, a spus purtătorul de cuvânt al CertiK.
Tim Craig este corespondent DeFi la DL News. Ai un pont? Trimiteți-i un e-mail la tim@dlnews.com.

O platformă legată de CertiK postează public rapoarte de eroare. Cercetătorii spun că este „nebun de iresponsabil”

Explorați mai multe de la acest creator

Ultimele știri