Bug bounty

Mọi hợp đồng thông minh đang hoạt động đều là một lời mời thường trực. Nếu nó nắm giữ tiền và có lỗi, sớm muộn sẽ có người đi tìm. Bug bounty thay đổi động cơ bằng cách cho người tìm ra lỗi một con đường hợp pháp, có trả thưởng, để báo cáo, khiến việc công bố trở thành lựa chọn có lợi hơn một cuộc tấn công.

Bug bounty hoạt động như thế nào

Một chương trình công bố phạm vi (những hợp đồng, trang web và hệ thống nào được bao gồm), một bộ quy tắc và một bảng mức thưởng. Nhà nghiên cứu tìm ra vấn đề sẽ gửi một báo cáo riêng với đủ chi tiết để tái hiện. Nhóm phát triển xác nhận vấn đề, sửa lỗi và trả thưởng dựa trên mức độ nghiêm trọng. Quy tắc thông thường cấm thử nghiệm trên tiền thật của người dùng, yêu cầu giữ kín vấn đề cho đến khi được sửa, và loại trừ các vấn đề đã biết cũng như các cuộc tấn công dựa vào khóa bị đánh cắp.

Mức thưởng được định ra như thế nào

Mức thưởng thường theo các bậc nghiêm trọng. Một vấn đề nghiêm trọng có thể gây mất tiền trực tiếp được thưởng nhiều nhất, thường có mức trần gắn với giá trị đang gặp rủi ro; vấn đề mức cao, trung bình và thấp được thưởng ít dần. Lý do mang tính kinh tế. Nếu phần thưởng quá nhỏ so với những gì kẻ tấn công có thể lấy, một số người tìm ra lỗi sẽ bị cám dỗ, vì vậy các chương trình nghiêm túc trong DeFi đưa ra mức thưởng có thể rất lớn. Trả thưởng nhanh và công bằng cũng quan trọng như quy mô phần thưởng, vì các nhà nghiên cứu nhớ nhóm nào tôn trọng chương trình của mình.

Ví dụ đơn giản

Một nhà nghiên cứu nhận thấy hàm rút tiền của một vault làm tròn có lợi cho người dùng trong một trường hợp biên hiếm gặp. Lặp lại nhiều lần trong một giao dịch, lỗi này có thể từ từ rút cạn vault. Cô ấy viết lại các bước và gửi riêng. Nhóm phát triển tái hiện lỗi, tạm dừng hàm bị ảnh hưởng, triển khai bản sửa và trả thưởng ở mức cao. Không có khoản tiền nào bị mất, và vấn đề được công bố công khai sau khi bản sửa đi vào hoạt động.

Bug bounty so với kiểm toán

Một cuộc kiểm toán hợp đồng thông minh là đợt rà soát theo lịch, có phạm vi, do một nhóm được thuê thực hiện tại một thời điểm. Bug bounty thì mở: ai cũng có thể tìm, trong suốt thời gian chương trình còn chạy, và tiền thưởng phụ thuộc vào kết quả. Kiểm toán mạnh nhất trước khi ra mắt; bug bounty tiếp tục trả tiền cho sự chú ý về sau, khi mã đang chạy và rủi ro là thật. Giám sát runtime bổ sung lớp thứ ba bằng cách theo dõi giao dịch ngay khi chúng diễn ra.

Rủi ro và giới hạn

Bug bounty chỉ hiệu quả nếu nhà nghiên cứu tìm ra lỗi trước kẻ tấn công, và nếu phần thưởng xứng đáng với thời gian của họ. Phạm vi rất quan trọng: một vấn đề nằm ngoài các hợp đồng được liệt kê có thể không đủ điều kiện, điều này có thể đẩy sự chú ý sang nơi khác. Các chương trình trả thưởng chậm hoặc tranh cãi những phát hiện hợp lệ sẽ mất niềm tin của cộng đồng nghiên cứu. Tự bản thân bug bounty cũng không sửa được gì; nhóm phát triển vẫn phải phản ứng nhanh, và một số lỗi cần thời gian để vá an toàn sau khi được báo cáo. Việc có một chương trình nói lên rất ít về chất lượng của nó. Phạm vi, quy tắc và lịch sử chi trả cho bạn biết nhiều hơn mức thưởng tối đa.

Tori Finance vận hành chương trình bug bounty nội bộ của riêng mình, trả thưởng cho các nhà nghiên cứu báo cáo lỗ hổng trong mã một cách có trách nhiệm. Chương trình này tách biệt với các cuộc kiểm toán hợp đồng thông minh và với giám sát runtime, và giúp mã tiếp tục được rà soát trong khi đang hoạt động.