Giới thiệu
Phòng thủ tốt nhất của ngành crypto trước các cuộc tấn công nghiêm trọng không phải chỉ là mã nguồn — mà còn là các động lực. Chương trình bug bounty đã ngăn chặn hàng tỷ đô la thiệt hại, và điều quan trọng là phải nhấn mạnh rằng những khoản tiền này có thể đã trở thành mục tiêu của các cuộc tấn công, chứ không phải là các thông báo có trách nhiệm, nếu không có các động lực phù hợp được thiết lập.
Động lực và Tiêu chuẩn Bug Bounty
Sự bảo vệ này chỉ hoạt động khi các động lực cho hành vi white hat rõ ràng vượt trội hơn so với việc khai thác, và các xu hướng thị trường hiện tại đang nghiêng cán cân đó theo những cách nguy hiểm.
Tiêu chuẩn bug bounty mở rộng có nghĩa là kích thước phần thưởng nên tăng lên cùng với số vốn có nguy cơ. Nếu một lỗ hổng có thể gây thiệt hại lên đến 10 triệu đô la, thì phần thưởng nên đạt tới 1 triệu đô la. Đây là những động lực có thể thay đổi cuộc sống cho các nhà nghiên cứu bảo mật, khuyến khích họ tiết lộ thay vì khai thác, và chúng cũng hiệu quả về chi phí cho các giao thức so với lựa chọn tàn phá của việc bị hack.
Vấn đề Cạnh tranh và Tác động
Vấn đề là cạnh tranh trên thị trường đang bóp méo những động lực này. Một số nền tảng hiện đang liên kết các gói dịch vụ giá thấp nhất của họ với phần thưởng bounty có giới hạn, đôi khi không cao hơn 50.000 đô la. Cấu trúc giá này gây áp lực cho các giao thức để giảm thiểu phần thưởng và giảm chi phí, tạo ra điều kiện cho cuộc tấn công nghiêm trọng tiếp theo.
Bug bounty như một cơ chế phòng thủ. Cuộc tấn công trị giá 12 triệu đô la gần đây của Cork Protocol là một ví dụ điển hình.
Giao thức đã đặt phần thưởng bug bounty quan trọng của mình chỉ ở mức 100.000 đô la, một phần nhỏ so với số tiền có nguy cơ. Sự không phù hợp này tạo ra một phép toán kinh tế đơn giản: Tại sao phải dành hàng trăm giờ để tìm kiếm một lỗ hổng nếu khoản thanh toán giới hạn thấp hơn 120 lần so với giá trị khai thác? Những phép toán như vậy không ngăn cản việc khai thác; nó khuyến khích nó.
Rủi ro và Chiến lược
Bug bounty là những cơ chế phòng thủ quan trọng chỉ hoạt động khi chúng phù hợp với rủi ro. Khi các giao thức có hàng chục triệu giá trị tổng cộng bị khóa nhưng lại cung cấp phần thưởng ở mức thấp, họ đang thực sự đặt cược rằng các hacker sẽ chọn đạo đức hơn kinh tế. Đó không phải là một chiến lược — đó là hy vọng.
Tiêu chuẩn triệu đô tồn tại vì một lý do. Các tiêu chuẩn bảo mật của crypto đã được hình thành thông qua những khoảnh khắc triệu đô. MakerDAO đã đặt ra một phần thưởng 10 triệu đô la, điều này đã chỉ ra giá trị của sự bảo vệ.
Hiệu quả của Cách tiếp cận Mở rộng
Cách tiếp cận mở rộng này đã chứng minh là hiệu quả. Khi các lỗ hổng quan trọng có thể ảnh hưởng đến hàng triệu trong quỹ người dùng, các phần thưởng nên cung cấp các phần thưởng tỷ lệ thuận, thường khoảng 10% số vốn có nguy cơ. Những kinh tế này giúp đảm bảo rằng các nhà nghiên cứu tốt nhất ở lại trong hệ sinh thái và vẫn có động lực để báo cáo các lỗ hổng.
Những Tiền lệ Nguy hiểm
Các lực lượng thị trường đang tạo ra những tiền lệ nguy hiểm. Cuộc đua giành thị phần đã dẫn đến việc một số nền tảng cạnh tranh về giá thay vì kết quả bảo mật. Bằng cách liên kết phí nền tảng với các phần thưởng bounty có giới hạn, họ tạo ra một cấu trúc động lực sai lệch; các giao thức chọn phần thưởng thấp hơn để giảm thiểu chi phí, không phải vì rủi ro biện minh cho điều đó, mà vì giá cả khuyến khích điều đó.
Đây là một sự hiểu lầm cơ bản về những gì bug bounty thực sự là. Chúng không chỉ là chi phí; chúng là các hợp đồng bảo hiểm mà giá trị của chúng phải tăng lên cùng với những gì chúng bảo vệ.
Hệ quả và Cảnh báo từ Web2
Tệ hơn, một số nền tảng bảo mật hiện yêu cầu các hợp đồng độc quyền hạn chế nơi mà các nhà nghiên cứu có thể làm việc. Những nền tảng khác cho phép định giá lại sau khi tiết lộ, điều này làm suy yếu lòng tin của các nhà nghiên cứu. Những thực tiễn này làm suy yếu hợp đồng xã hội mà làm cho bug bounty hiệu quả ngay từ đầu.
Kết quả là một hiệu ứng làm lạnh: Các giao thức giới hạn phần thưởng để cắt giảm chi phí. Các nhà nghiên cứu chọn không tham gia vì lợi ích không xứng đáng với nỗ lực. Các lỗ hổng quan trọng không được phát hiện. Các cuộc tấn công xảy ra. Các giao thức cắt giảm ngân sách bảo mật hơn nữa. Đó là một vòng xoáy tử thần mà không ai được hưởng lợi ngoại trừ các tác nhân độc hại.
Con đường Phía Trước
Con đường phía trước đòi hỏi sự phối hợp trong ngành. Bảo vệ cơ sở hạ tầng bảo mật của crypto yêu cầu nhận thức rằng bug bounty hoạt động dựa trên lòng tin và động lực. Mỗi chương trình định giá thấp làm yếu đi hợp đồng xã hội giữ cho các nhà nghiên cứu có kỹ năng ở lại bên đúng của pháp luật.
Giải pháp không phải là điều cực đoan. Duy trì các phần thưởng bounty phản ánh rủi ro thực tế. Đảm bảo đối xử công bằng và minh bạch với các nhà nghiên cứu. Kháng cự lại cám dỗ để coi bảo mật như một trung tâm chi phí thay vì một động lực giá trị. Quan trọng là, các nền tảng phải ngừng khuyến khích các giao thức cắt giảm phòng thủ của chính họ.
Nền kinh tế phi tập trung chỉ hoạt động khi lòng tin tăng lên cùng với nó. Nếu chúng ta muốn crypto tiếp tục phát triển, với sự tự tin từ người dùng, các nhà quản lý và các tổ chức, chúng ta cần các hệ thống bounty có ý nghĩa, không chỉ trên giấy, mà trong thực tế. Crypto chỉ phát triển đến mức mà những người bảo vệ nó được trao quyền hành động.
