Снижение выплат за обнаружение ошибок ставит под угрозу крипто-активы на миллиарды долларов
Автор: Mitchell Amador
Мнение от: Митчелла Амадора, основателя и генерального директора Immunefi
Лучшая защита крипто-индустрии от катастрофических взломов – это не код, а стимулы. Программы вознаграждения за обнаружение ошибок (bug bounties) предотвратили потери на миллиарды долларов, и важно подчеркнуть, что эти миллиарды могли бы стать результатом эксплойтов, а не ответственных раскрытий информации, если бы не были установлены правильные стимулы. Эта защита работает только тогда, когда стимулы для этичного поведения (white hat) значительно превышают стимулы для эксплуатации уязвимостей, а текущие рыночные тенденции сейчас меняют этот баланс в опасном направлении.
Принцип масштабирования программ вознаграждения за обнаружение ошибок предполагает, что размер вознаграждения должен расти пропорционально сумме капитала, находящегося под угрозой. Если уязвимость может привести к потере 10 миллионов долларов, вознаграждение должно составлять до 1 миллиона долларов. Это стимулы, меняющие жизнь для специалистов по безопасности, чтобы они сообщали об уязвимостях, а не использовали их в своих целях, и это экономически выгодно для протоколов по сравнению с разрушительной альтернативой – стать жертвой взлома. Этот масштабируемый подход защищает целые протоколы от уничтожения и обеспечивает постоянный рост децентрализованных финансов (onchain finance).
Проблема в том, что рыночная конкуренция искажает эти стимулы. Некоторые платформы сейчас привязывают размер вознаграждения за обнаружение ошибок к самым дешевым тарифным планам, иногда не превышающим 50 000 долларов. Такая ценовая политика заставляет протоколы минимизировать вознаграждения и снижать затраты, создавая условия для следующего катастрофического взлома.
Программы вознаграждения за обнаружение ошибок как механизмы защиты
Недавний взлом протокола Cork Protocol на 12 миллионов долларов наглядно это демонстрирует. Протокол установил вознаграждение за критическую ошибку всего в 100 000 долларов, что составляет лишь небольшую часть средств, находящихся под угрозой. Это несоответствие создает простую экономическую оценку: зачем тратить сотни часов на поиск уязвимости, если максимальная выплата в 120 раз ниже стоимости ее эксплуатации? Такая математика не сдерживает эксплуатацию; она поощряет ее.
Программы вознаграждения за обнаружение ошибок являются критически важными механизмами защиты, которые работают только тогда, когда они соответствуют уровню риска. Когда протоколы с десятками миллионов долларов в заблокированных активах предлагают вознаграждения в низком пятизначном диапазоне, они фактически делают ставку на то, что хакеры выберут этику, а не экономику. Это не стратегия – это надежда.
Стандарт в миллион долларов существует не случайно
Стандарты безопасности крипто-индустрии были выкованы в результате событий, связанных с миллионными выплатами. MakerDAO установил вознаграждение в размере 10 миллионов долларов, сигнализируя о том, какой должна быть стоимость защиты. Выплата в размере 10 миллионов долларов, произведенная Wormhole после критической уязвимости, закрепила прецедент, что значимая безопасность требует значимых стимулов. Специалистам по безопасности нужны стимулы, меняющие жизнь, чтобы они выбирали раскрытие информации, а не уничтожение, в индустрии, где эксплуатация уязвимостей может опустошить казначейства за считанные минуты.
Этот масштабируемый подход доказал свою эффективность. Когда критические уязвимости могут затронуть миллионы средств пользователей, вознаграждения должны быть пропорционально высокими, обычно около 10% от суммы капитала, находящегося под угрозой. Такая экономика помогает обеспечить, чтобы лучшие специалисты оставались в экосистеме и оставались мотивированными на сообщение об уязвимостях.
Рыночные силы создают опасный прецедент
Гонка за долей рынка привела к тому, что некоторые платформы начали конкурировать по цене, а не по результатам в области безопасности. Связывая тарифы платформы с ограниченным вознаграждением за обнаружение ошибок, они создают извращенную структуру стимулов; протоколы выбирают более низкие вознаграждения, чтобы минимизировать затраты, не потому, что риск это оправдывает, а потому, что это поощряется ценовой политикой. Это фундаментальное непонимание того, что такое программы вознаграждения за обнаружение ошибок. Это не просто расходы; это страховые полисы, стоимость которых должна масштабироваться вместе с тем, что они защищают.
Хуже того, некоторые платформы безопасности теперь требуют эксклюзивных контрактов, которые ограничивают место работы специалистов. Другие допускают переоценку вознаграждения после раскрытия информации, что подрывает доверие специалистов. Эти практики подрывают социальный контракт, который делает программы вознаграждения за обнаружение ошибок эффективными. Если опытные специалисты теряют уверенность в справедливости системы, у них есть три варианта: прекратить поиск уязвимостей, перейти на частные аудиты или уйти в тень.
В результате наблюдается охлаждающий эффект: протоколы ограничивают вознаграждения, чтобы сократить затраты. Специалисты отказываются от участия, потому что потенциальная выгода не стоит затраченных усилий. Критические уязвимости остаются необнаруженными. Происходят взломы. Протоколы еще больше сокращают бюджеты безопасности. Это спираль смерти, которая никому не выгодна, кроме злоумышленников.
Предупреждение из Web2
Параллели с неудачами Web2 в программах вознаграждения за обнаружение ошибок тревожны. Там хроническая недоплата и плохое отношение к специалистам привели к тому, что многие опытные этичные хакеры полностью отказались от участия в публичных программах. Крипто не может допустить той же ошибки, особенно когда триллионы долларов готовятся к переводу на onchain и институты внимательно следят за происходящим.
Некоторые утверждают, что команды на ранних стадиях не могут позволить себе большие вознаграждения. Однако правда в том, что стоимость успешного взлома всегда будет выше, чем стоимость хорошо согласованной программы вознаграждения за обнаружение ошибок. Потеря средств – это дорого. Потеря доверия – это фатально.
Путь вперед требует координации в отрасли
Защита инфраструктуры безопасности крипто требует признания того, что программы вознаграждения за обнаружение ошибок работают на основе доверия и стимулов. Каждая недооцененная программа ослабляет социальный контракт, который удерживает опытных специалистов на правильной стороне закона.
Решение не радикально. Поддерживайте вознаграждения, отражающие реальный риск. Обеспечьте прозрачное и справедливое отношение к специалистам. Сопротивляйтесь искушению рассматривать безопасность как центр затрат, а не как фактор роста стоимости.
Критически важно, чтобы платформы перестали стимулировать протоколы к сокращению собственной защиты.
Децентрализованная экономика работает только тогда, когда доверие масштабируется вместе с ней. Если мы хотим, чтобы крипто продолжал расти с уверенностью со стороны пользователей, регуляторов и институтов, нам нужны системы вознаграждений, которые имеют смысл не только на бумаге, но и на практике. Крипто процветает только в той степени, в которой его защитники наделены полномочиями действовать.
Мнение от: Митчелла Амадора, основателя и генерального директора Immunefi.
Эта статья предназначена только для общих информационных целей и не должна рассматриваться как юридическая или инвестиционная консультация.
