脆弱性報酬

CoinDeskの報道によると、大量のAI支援による脆弱性報告が寄せられ、Solanaの検証クライアントFiredancerチームは、研究者が脆弱性報告を提出するたびに1枚のSOL（約100ドル）を永久に消却することを要求しています。これは、ゴミ報告を抑制するためです。この費用は返金不可で、報告が無効、範囲外、または重複していても同様です。SOLが消却されていない報告は、報酬を受け取る資格がありません。4月9日から5月9日までの100万ドルの監査コンペティションには、162名の研究者が809件の報告を提出し、127件の独自のセキュリティ発見が生まれました。ほぼ半数の有効な提出は重複していました。Jump Cryptoは、ほぼすべての提出にAIエージェントが発見または執筆に関与していると考えています。未処理の報告は一時299件に達しました。その間、Jumpは報酬基準を引き上げ、条件を満たす発見は11月20日までに標準報酬の2倍を得ることができ、Alpenglow特定の脆弱性は3倍、重要な発見は最高30万ドルとなります。

Cysicは、未承認で1000万枚のCYSを増発した攻撃者に対して和解案を提示し、相手に対してチェーン上の公告発表後72時間以内にCysic財団指定の住所に275.872枚のETHを返還するよう要求しました。これは確認されたETH収益の約90%に相当します。対価として、攻撃者は残りの約30.652枚のETHを脆弱性報酬として保持することができます。Cysicは、攻撃の重要な部分を復元し、関連する技術およびチェーン上の証拠を保持したと述べています。相手が期限内に資金を返還しない場合、プロジェクト側は処理をアップグレードし、法執行機関の介入を求め、全面的な刑事調査を推進します。

VerusはXプラットフォームで、Verus-Ethereumクロスチェーンブリッジが攻撃を受けたことを確認しました。Ethereumチェーン上の契約にあるETH、USDC、tBTCが盗まれ、現在他のブリッジ資産には影響が出ていません。Verusネットワークは現在停止しており、大多数のブロック生成ノードは攻撃の影響を受けて自発的にオフラインになっています。開発チームは事件の影響範囲、攻撃経路、今後の処理方法を全力で調査しており、さらなる情報が確認され次第、進捗を発表します。Verusは、関連する法執行機関と協力して法的責任を追及する意向を示していますが、攻撃者が全額返還する場合、プロジェクト側は脆弱性報奨金を提供し、さらなる責任追及は行わないとしています。また、Verusは、公開チャンネル、プライベートメッセージ、または他のチャネルで自称Verusチームまたはコミュニティメンバーであり、「賠償」や「補償プラン」を提供する人物はすべて詐欺師であると警告しています。公式は、賠償プロジェクトが存在すると主張する人や補償を提供する人とやり取りしないように強調し、関連アカウントをDiscordまたはXプラットフォームに通報するように求めています。以前、VerusのEthereumクロスチェーンブリッジが攻撃を受け、約1158万ドルの損失がありました。

ChainCatcher のメッセージ、MIM Spell は gmCauldrons に関する脆弱性の存在を認識していることを明らかにしました。コア貢献者とセキュリティエンジニアがこの問題を深く調査しており、できるだけ早く詳細情報を提供する予定です。Zeroshadow チームが警告を発した後、すべての cauldrons の貸出が停止されました。現在、今回の攻撃による全損失を評価しています。また、この脆弱性は gmCauldrons のみ影響を及ぼし、ユーザーの担保資産には影響がありません。MIM Spell はハッカーとの交渉を希望しており、脆弱性報奨金の総額の 20% を提供する意向です。

ChainCatcher のメッセージ、Web3 脆弱性報酬プラットフォーム Immunefi は、ホワイトハットセキュリティ会社 Trust Security に対して 90 日間の停止を実施しました。この決定は、後者が Immunefi に対して脆弱性報酬の支払いを不当に拒否したと非難した後に下されました。なぜなら、後者は資金が盗まれる可能性のある重要な脆弱性を発見したからです。11 月 12 日、Trust Security は X 上で、その報酬チームが未命名プロジェクトのフォークされたメインネット上で重要な資金盗難の脆弱性を発見したことを明らかにしました。この脆弱性の概念実証は Immunefi と共有され、Immunefi はホワイトハットとプロジェクトの間の仲介者として機能し、信頼できる脆弱性の特定に対して報酬が支払われることを保証します。しかし、Immunefi は Trust Security が範囲を超えた脆弱性を検出したと述べました。Trust は、Immunefi がそのプロジェクトの「無意味な主張」の側に誤って立ち、重要な脆弱性を特定するための全額報酬を提供することなく「わずかな善意の報酬」しか提供しなかったと主張しています。Immunefi は、報酬が不公平であるという Trust の主張を反論し、「現在の問題についての誤った説明」を理由に 90 日間の停止命令を発しました。Immunefi は、Trust が再度違反を犯した場合、永久的な禁止を実施すると述べています。

ChainCatcher のメッセージによると、DL News の報道では、脆弱性報奨金プラットフォーム OpenBounty が同行のセキュリティ研究者から批判を受けています。なぜなら、ユーザーが提出した脆弱性報告が公開のブロックチェーン上に掲載されてしまったからです。OpenBounty が報告を受け取ると、それらの報告内容を自動的に取引として Shentu に公開します。Shentu は OpenBounty の親会社である Shentu Foundation が運営するブロックチェーンです。公開された詳細には、脆弱性の脅威レベル、潜在的に脆弱なコードの位置、報告者のコメントが含まれています。OpenBounty は 30 以上の異なる暗号プロジェクトが提供する脆弱性報奨金をリストアップしており、総預金額は 110 億ドルを超えています。独立したセキュリティ研究者 Pascal Caversaccio は、潜在的な脆弱性を公開することは極めて無責任であり、どんなハッカーでもこれらの報告をフィルタリングして利用できると述べています。セキュリティ研究者たちは、OpenBounty が他のセキュリティ会社や暗号プロジェクトが提供する脆弱性報告をリストアップし、受け入れたことに対しても不満を抱いています。これらの会社やプロジェクトは、許可を得ていません。OpenBounty のウェブサイトに掲載されている報奨金には、トップの分散型取引所 Uniswap や貸付プロトコル Compound からの報奨金が含まれています。暗号セキュリティ会社 OpenZeppelin のソリューションアーキテクチャ責任者 Michael Lewellen は、「Compound DAO の OpenZeppelin におけるセキュリティアドバイザーとして、彼らがそのプロトコルを代表して脆弱性報奨金を管理する権限を持っていないことを権威を持って言えます」と述べています。脆弱性報奨金プラットフォーム HackenProof の CEO Dmytro Matviiv は、「許可なしに報奨金をリストアップすることは法的な結果をもたらす可能性があります。脆弱性報奨金市場は、慎重に考えられた法的プロセスの下で運営されています。このシステムの下では、報奨金を脆弱性報奨金プラットフォームに掲載する前に、報奨金の発行者の許可を得る必要があります」と述べています。CertiK の広報担当者は、OpenBounty プラットフォームを管理する実体 Shentu はかつて CertiK の一部であったことを確認しましたが、2020 年以来、Shentu は独立した実体として運営されています。しかし、分裂から 4 年後も、OpenBounty プラットフォーム上のコードは CertiK を含む名前のドメインにリンクされています。ただし、CertiK の広報担当者は、これらのドメインは Shentu によって独立して管理されていると述べています。

ChainCatcher のメッセージによると、Mango Labs LLC はマンハッタンで攻撃者 Avraham Eisenberg を正式に訴え、以前の賠償提案で保持されていた4700万ドルの脆弱性報酬の返還を求めています。以前、ChainCatcher は、Solana エコシステムの DeFi プラットフォーム Mango が 2022 年 10 月にハッキングされたと報じました。ハッカーの Avraham Eisenberg は、違法に担保トークンの価格を操作することで、20 分以内に 1.14 億ドルを獲得しました。その後、Mango コミュニティは、悪化した債務を返済するための新しい提案（Repay Bad Debt #2）を投票で承認し、Avraham Eisenberg に 4700 万ドルを脆弱性報酬として保持させ、残りの 6700 万ドルの盗まれたトークンを Mango Labs に返還し、Mango Markets はこの件に対して刑事訴訟を提起しないことを決定しました。（出典リンク）

链捕手メッセージ、脆弱性報奨プラットフォーム Immunefi が 2400 万ドルの A ラウンド資金調達を完了、Framework Ventures が主導し、Electric Capital、Polygon Ventures、Samsung Next、North Island Ventures、Third Prime Ventures、Lattice Capital が参加。資金は、サービスに対する需要の増加に応じてチームを拡大するために使用される予定で、現在 Immunefi の従業員数は約 50 人で、近い将来に倍増する可能性がある。Immunefi は 2020 年 12 月に設立され、シンガポールに本社を置き、300 以上の顧客を持ち、1000 億ドル以上のユーザー資金を保護していると主張し、ホワイトハッカーに 1.36 億ドルの報奨金を提供している。（The Block）

链捕手のメッセージによると、The Blockが報じたところでは、イーサリアムのスケーリングソリューションであるArbitrumが、バグハンターの0xriptideに400 ETH（約520,000ドル）のバグ報奨金を支払ったと発表しました。報告によると、Arbitrum Nitroのアップグレードの数週間前に、0xriptideはブリッジの脆弱性を発見しました。この脆弱性により、契約が以前に初期化されていても、ブリッジ契約が入金を受け入れることができ、損失は2.5億ドルを超える可能性があります。（The Block）