Nel 2021 gli hacker hanno sottratto 14 miliardi di dollari in criptovalute, il doppio rispetto ai 7 miliardi del 2020. Il 2022 non sarà da meno. Le piattaforme DeFi sembrano avere le stesse fondamenta di una partita a Jenga: basta togliere il blocco di legno giusto e tutto potrebbe crollare. I bug nel codice sono molto diffusi. Gli smart contract complicano ulteriormente la situazione, poiché possono contenere preziosi asset crittografici e sono immutabili. «Ogni progetto nel mondo delle criptovalute è semplicemente un progetto di bug bounty sotto mentite spoglie». Duncan Townsend, CTO di Immunefi. Un solo errore può costare milioni se sfruttato. L’audit di uno smart contract e i programmi di bug bounty aiutano a mitigare questi rischi.

Che cos’è un bug bounty?

Progetto di crowdsourcing che ricompensa gli hacker per l’individuazione e la segnalazione di vulnerabilità nel software. I “cacciatori di taglie” sono programmatori etici, hacker “white hat” che migliorano la sicurezza della piattaforma scoprendo le falle prima che lo facciano gli hacker malintenzionati, i “black hat”. I programmi di ricompensa per la segnalazione di bug esistono da quando Netscape ha offerto per la prima volta un premio per l’individuazione di falle di sicurezza nel proprio Navigator. Questi programmi consentono agli hacker di segnalare le vulnerabilità presenti in un codice senza temere procedimenti penali. Offrono agli hacker “black hat” un percorso legittimo per guadagnare denaro in modo pulito e possono motivarli a trasformarsi in “white hat”.

C'è un bisogno crescente di programmi di ricompensa per la segnalazione di bug, poiché non tutti gli sviluppatori possiedono le competenze necessarie per individuare bug e vulnerabilità. Non tutti i progetti possono permettersi di avere sempre un esperto di sicurezza con esperienza nel proprio organico. Di conseguenza, gli hacker etici ricevono ricompense per aver individuato eventuali vulnerabilità, contribuendo così a rafforzare la sicurezza del progetto.

Configurazione del programma Bug Bounty

I progetti dovrebbero definire l'ambito del programma di ricompense per evitare confusione. I progetti devono chiarire quali sono le prove necessarie per dimostrare la presenza di un bug e in che modo desiderano ricevere tali informazioni. Le organizzazioni dovrebbero fornire informazioni trasparenti sul programma di ricompense e sull'importo da destinare a un bug in base al suo livello di gravità.

Perché sempre più aziende del settore DeFi stanno adottando programmi di bug bounty?

Costi

I premi devono essere proporzionati. Uno smart contract che gestisce 300 milioni di dollari non può offrire 10.000 dollari per l’individuazione di una vulnerabilità critica. Pagare un cacciatore di taglie affinché segnali una vulnerabilità potrebbe costare meno che pagare per recuperare i propri fondi da un hacker.

Non tutti i casi si concludono con una negoziazione fruttuosa, ma il 2 luglio 2022 gli hacker sono riusciti a sottrarre 8.782.446 dollari tramite prestiti flash su Crema Finance. Alla fine, il team ha negoziato con gli hacker, che hanno restituito i fondi rubati al netto di una ricompensa pari a 1,7 milioni di dollari. Non si tratta di una prassi standard, ma i progetti dovrebbero considerare il 10% dei fondi a rischio come un punto di partenza appropriato per la ricompensa. Se l’importo fosse inferiore, gli hacker potrebbero non sentire la necessità di tornare sulla retta via.

Marketing

Progetti come MakerDAO hanno annunciato ricompense pari a 10 milioni di dollari e Olympus DAO a 3,3 milioni di dollari; ricompense così consistenti indicano che questi progetti prendono sul serio la sicurezza e vogliono prevenire perdite monetarie. Inoltre, generano un notevole interesse nei confronti dei loro protocolli dopo l’annuncio. Si tratta di un annuncio importante, dato che ogni settimana gli smart contract subiscono attacchi hacker che causano perdite per milioni. Le comunità si formano attorno a obiettivi specifici e un programma di ricompense di una certa entità può riunire le persone giuste per promuovere il successo del progetto, portandolo alla ribalta.

Sicurezza

I programmi di bug bounty dimostrano che un progetto è più affidabile, poiché prende sul serio la sicurezza e riconosce che la protezione è un processo continuo. Trascurare questo aspetto può mettere a rischio gli utenti, i partner e il protocollo stesso.

Test in corso

I programmi di bug bounty favoriscono un ambiente di test continui. La comunità può testare le nuove funzionalità aggiunte al codice, rafforzando costantemente i programmi.

Copertura

Il fatto che un gran numero di hacker "white hat" esamini il codice aumenta le probabilità di individuare vulnerabilità. È fondamentale prendere sul serio le segnalazioni di bug. È necessario intervenire e risolvere il problema prima che il bug finisca nel mirino di un malintenzionato. Ignorare le legittime preoccupazioni in materia di sicurezza sollevate dai cacciatori di taglie potrebbe avere conseguenze disastrose.

Lato negativo

Già scoperto

I professionisti esperti potrebbero dedicare del tempo a cercare un bug in un protocollo già ampiamente collaudato, sprecando così tempo e energie senza individuare alcuna nuova vulnerabilità.

È ora di correggere il bug

Nel corso della risoluzione di un problema noto possono verificarsi attacchi informatici. Quando vengono individuate delle vulnerabilità, i progetti devono disporre di un piano d’azione per evitare conseguenze negative qualora non si intervenga tempestivamente.

Conclusione

I programmi di bug bounty rappresentano solo una piccola parte del panorama della sicurezza. I progetti devono dare priorità ai controlli interni e testare il proprio codice. Successivamente, possono valutare la possibilità di sottoporre i propri contratti intelligenti a un audit tramite AuditOne.io, una piattaforma dedicata agli audit. Infine, è opportuno mettere a punto un programma di bug bounty. Gli hacker cercheranno di trarre profitto da ogni progetto che abbia il potenziale di generare milioni. Dovrebbe esserci un’infrastruttura adeguata per affrontare eventuali problemi che dovessero sorgere. È preferibile avere gli hacker dalla propria parte mentre si rafforza la sicurezza della piattaforma, piuttosto che dover negoziare dopo un attacco.

Prenota la tua consulenza gratuita sulla sicurezza:

Google Calendar: https://calendar.app.google/Ai15eyQhiV5c1pBXA
Telegram: https://t.me/m_ndr