Новости ChainCatcher, по данным DL News, платформа OpenBounty для поиска ошибок подверглась критике со стороны коллег-исследователей безопасности после того, как пользователи обнаружили, что отправленные ими отчеты об уязвимостях были опубликованы в публичном блокчейне. Когда OpenBounty получает отчеты, она автоматически публикует содержимое этих отчетов в виде транзакций в Shentu, блокчейне, управляемом материнской компанией OpenBounty, Shentu Foundation. Раскрытые подробности включают уровень угрозы уязвимости, расположение потенциально уязвимого кода и комментарии автора отчета. OpenBounty перечисляет вознаграждения за обнаружение ошибок, предлагаемые более чем 30 различными криптопроектами с общей суммой депозитов более 11 миллиардов долларов.
Независимый исследователь безопасности Паскаль Каверсаччо заявил, что публичная утечка информации о потенциальных уязвимостях крайне безответственна, и любой хакер может просмотреть эти отчеты и использовать их. Исследователи безопасности также жалуются, что OpenBounty перечисляет и принимает отчеты об ошибках от других компаний, занимающихся безопасностью, и криптографических проектов, которые она не авторизует. Среди вознаграждений, перечисленных на веб-сайте OpenBounty, есть награды от ведущей децентрализованной биржи Uniswap и протокола кредитования Compound.
«Как консультант по безопасности Compound DAO в OpenZeppelin, я могу авторитетно заявить, что они не уполномочены администрировать вознаграждения за ошибки от имени протокола», — сказал Майкл Левеллен, директор по архитектуре решений в компании по криптографической безопасности OpenZeppelin.
Дмитрий Матвиев, генеральный директор платформы вознаграждений за обнаружение ошибок HackenProof, сказал: «Перечисление вознаграждений за обнаружение ошибок без разрешения может иметь юридические последствия. В рамках этой системы рынок вознаграждений за обнаружение ошибок работает в соответствии с хорошо продуманной юридической процедурой. платформе, вы должны получить разрешение от издателя баунти».
Представитель CertiK подтвердил, что Shentu, организация, контролирующая платформу OpenBounty, когда-то была частью CertiK, однако с 2020 года Shentu работает автономно как отдельная организация. Тем не менее, спустя четыре года после разделения код на платформе OpenBounty по-прежнему ссылается на домены с CertiK в своих именах. Однако представитель CertiK заявил, что домены управляются Shentu независимо.