Sky Mavis — компания, стоящая за Axie Infinity, — предлагает до 1 миллиона долларов каждому, кто выявит серьезные уязвимости в системе безопасности ее платформы. Это произошло после того, как компания подверглась крупнейшему взлому defi в истории, когда из моста Ronin было украдено более 600 млн долларов США.
Призыв к белым шляпам
Согласно веб-сайту компании, программа Sky Mavis Bounty будет основываться на таксономии рейтинга уязвимостей Bugcrowd. Система поможет Sky Mavis расставлять приоритеты и оценивать выводы своего сообщества по вопросам безопасности. Чем серьезнее и разрушительнее для бизнеса та или иная уязвимость, тем выше будет награда за ее обнаружение.
Потенциальные уязвимости разбиты на две категории: «Смарт-контракты и блокчейн» и «Интернет и приложения». Предоставляется список смарт-контрактов и веб-приложений, подлежащих проверке.
Уязвимости безопасности веб-сайтов и приложений, как правило, предлагают меньше вознаграждения: максимальная сумма вознаграждения составляет 15 000 долларов США за «критические» результаты. Напротив, слабые стороны блокчейна обещают вознаграждение по пяти уровням серьезности: от 1000 долларов за обнаружение «низкого» риска до 1 000 000 долларов за «фатальные». Эти награды будут выплачиваться в осколках Axie Infinity (AXS).
Однако в программе действуют строгие и конкретные правила. Например, уязвимости должны включать доказательство концепции, а не оставаться чисто теоретическими. Они не должны требовать рута/джейлбрейка для проведения и должны иметь ощутимое влияние на безопасность. Отчеты автоматических инструментов и сканирования также недопустимы.
Наоборот, программа отдает приоритет таким проблемам, как повторный вход и логические ошибки, в том числе ошибки аутентификации пользователя. Проблемы с перегрузкой/масштабируемостью, сбоями консенсуса и манипулированием временными метками блоков также являются допустимыми проблемами.
«Призываем всех белых хакеров в сфере блокчейна», — написал главный операционный директор Sky Mavis Александр Ларсен в понедельник. «Программа Sky Mavis Bug Bounty уже здесь. Помогите нам обеспечить безопасность сети Ronin Network и заработайте вознаграждение».
«Белые хакеры» – это люди, которые используют свои навыки хакеров во благо, чтобы информировать компании о уязвимостях в системе безопасности и укреплять свои сети. В январе один белый хакер вернул ETH на сумму около 813 000 долларов в мультичейн-протокол, который днем ранее подвергся взлому на 2 миллиона долларов.
Подведение итогов: взлом Ronin Bridge
В конце прошлого месяца Ronin — сайдчейн Ethereum, на котором работает Axie Infinity, — увидел, что более 600 млн долларов США в ETH и USDC были выведены из моста блокчейна. Хакеру удалось это сделать, скомпрометировав большинство узлов-валидаторов Ronin.
Взлом был замечен только через 6 дней после того, как он произошел. С тех пор Sky Mavis работает над возвратом украденных средств и пообещала компенсацию пострадавшим игрокам Axie. Однако хакер, похоже, уже запутывает средства небольшими партиями, используя службу микширования.
