Jay Freeman machte sich gerade auf den Weg, als er an den größten Zahltag seines Lebens stolperte.
Freeman ist ein Sicherheitsforscher, der dafür bekannt ist, Software für Mobiltelefonbetriebssysteme bereitzustellen, die „jailbroken“ wurden (modifiziert, um es Benutzern zu ermöglichen, ihr Betriebssystem anzupassen). Eines Tages hat er zufällig herausgefunden, wie „intelligente Verträge“ funktionieren, um Transaktionen auf Optimism, einer Ethereum-Blockchain, die von dem Open-Source-Softwareunternehmen, das er mitgründete, Orchid Labs, verwendet wird, durchzuführen. Zur Überraschung von Freeman kam er auf, was wie ein kritischer Softwarefehler in einer virtuellen Maschine aussah, der es einem Hacker ermöglichen könnte, Millionen oder sogar Milliarden von Dollar in digitaler Währung zu erstellen – und zu stehlen.
Nachdem er einen „Konzeptnachweis“ erstellt hatte, um seine Arbeit zu überprüfen und den potenziellen Schaden für ein Unternehmen zu beschreiben, wurde er überzeugt, dass er auf etwas stieß. Er dachte zunächst, dass es ein großartiges Thema für eine Rede sein würde, die er auf einer Sicherheitskonferenz halten sollte. Dann erfuhr er, dass Optimism vor Kurzem eine große Fülle für jeden bot, der schwerwiegende Schwachstellen in seinem Code entdeckte. Freeman hat seine Ergebnisse eingereicht. Optimismus hat die Existenz des Fehlers überprüft und, kurze Zeit später, erhielt Freeman 2 Millionen US-Dollar.
„Ich habe nicht danach gesucht“, sagt er. „Dies war wie beim Gehen auf der Straße, Stolpern über ein Schlagloch, wenn ich dachte, dass Schlagloch nicht da sein sollte, mich fragen sollte, wem ich das Schlagloch melden sollte, und dann herausfinden, dass es eine Multimillionen-Dollar-Prämie für Informationen über dieses Schlagloch gibt. Dann sage ich: „Woo-hoo!“
Bugbounties explodieren über Web 3,0
Bugbounties gibt es schon seit geraumer Zeit in der Web 2,0 -Welt. Die meisten individuellen Auszahlungen waren jedoch auf fünf oder sechs Zahlen begrenzt. Jetzt, wo (zur Pressezeit) ein geschätzter Wert von 920,6 Milliarden US -Dollar an Kryptowährungen um den blockchain-betriebenen Bereich Web 3,0 herum wirbelt, zahlen Anbieter mehr.
Noch viel mehr. In fact, the total bug bounty market—valued at $223,1 million in 2020—is expected to grow 54% per year and reach $5,5 billion by 2027, according to All the Research (ATR), a market research firm.
Sicherheitsforscher und White Hat-Hacker Gerhard Wagner gewann eine Bug-Prämie in Höhe von 2 Millionen US-Dollar, angeblich eine der größten Prämien, die im letzten Jahr gezahlt wurde. Nachdem er den Wert der Kryptowährungs-bezogenen Auszahlungen „explodiert“ bemerkt hatte, sprang er in die Bounty-Jagd und fand im vergangenen Oktober eine kritische Schwachstelle in Polygons Plasma Bridge. Der Fehler in der Cross-Chain-Bridge – die Verbindung, die verwendet wird, um Transaktionen zwischen Blockchains zu erleichtern – hätte es einem Angreifer ermöglichen können, bis zu 224 Millionen US-Dollar Kryptowährung abzuheben. Wenn dies wiederholt erfolgt, wäre es möglich gewesen, alle geschätzten Beteiligungen von Polygon in Höhe von 850 Millionen US-Dollar abzuleiten.
„Ich war überrascht“, gibt er zu. „Ich habe einen Machbarkeitsnachweis gemacht, um zu sehen, ob der Angriff, den ich testete, tatsächlich funktionierte, und selbst wenn er funktionierte, sagte ich immer wieder: „Das kann nicht richtig sein.“ Aber ich habe den Fehler sowieso an Polygon gesendet, um zu sehen, was passieren würde. Sie antworteten, bestätigten das Problem und die Dinge bewegten sich danach schnell.“
[Lesen Sie auch: Warum die Brücken zwischen Blockchains angegriffen werden]
Blockchain-Unternehmen sind bereit, heutzutage mehr für Gelder zu zahlen als Softwareunternehmen in der Vergangenheit, weil sie so viel mehr verlieren, wenn sie angegriffen werden. Sie könnten nicht nur ihr eigenes Geld verlieren, sondern auch die Kryptowährung, die Kunden in digitale Geldbörsen platziert haben. Indeed, nearly $2 billion was lost in the first part of 2022 to cryptocurrency hacks. Zu den wichtigsten Hacks, die bis Ende 2021 zurückreichen, gehören: Poly Network ($611 Millionen), Ronin Network ($625 Millionen), Wormhole ($325 Millionen), Nomad ($200 Millionen) und Harmony ($100 Millionen).
Bounties erklärt
Web- 3,0 -Unternehmen, die sich über diese neuartigen Arten von Bedrohungen Sorgen machen, bieten häufig auf verschiedene Weise Vorteile an. Ihre Techniken könnten sich für Sicherheitsmanager von Unternehmen als nützlich erweisen, die mit dem Wilden Westen neuer Technologien experimentieren.
„Ich sagte immer wieder: „Das kann nicht richtig sein.“ Aber ich habe den Fehler trotzdem an Polygon gesendet, um zu sehen, was passieren würde ... und die Dinge haben sich danach schnell verschoben.“Gerhard Wagner, Sicherheitsforscher und White Hat Hacker
Erstens beschließen Unternehmen, nach der Entscheidung, dass ihnen die Ressourcen fehlen, um die Arbeit selbst zu erledigen, sogenannte White-Hat-Hacker, die an ihrer Seite arbeiten, zu bitten, Löcher in ihren Code zu schlagen. Sie schätzen, wie viel Geld sie verlieren könnten, und landen oft auf Bounty-Werten, die etwa 10 % des potenziellen Verlusts ausmachen.
Die meisten Unternehmen machen dann ein Angebot auf Bug Bounty-Plattformen wie Immunefi, HackerOne und Intigriti. Wenn Forscher glauben, dass sie etwas gefunden haben, reichen sie einen Konzeptnachweis direkt bei einem Unternehmen oder einer Bounty-Plattform ein. Ihre Arbeit wird bewertet und sie werden belohnt, wenn sie validiert wird.
Das System funktioniert theoretisch gut. Aber nicht alle weißen Hüte werden verkauft. Freeman sagt, dass einige Forscher ein Crowdsourcing-Modell betrügen, in dem sie Tage oder Wochen damit verbringen, Code ohne Bezahlung zu überprüfen. Andere machen sich Sorgen, dass Unternehmen zweifelhafte Entschuldigungen finden, um Prämien zu verweigern, auch wenn sie eindeutig verdient wurden.
Solche Bedenken scheinen jedoch nachzulassen, da die Auszahlungen weiter wachsen. Anekdotisch sagen Experten, dass etwa 2 000 Bug Bounty-Jäger Vollzeit arbeiten. Aber Intigriti berichtet, dass sich zwischen April 2021 und 50 000 Forscher für seine Dienstleistungen angemeldet haben April 2022, eine Steigerung um 43 %; und eine kürzlich durchgeführte Umfrage von Intigriti ergab, dass 66 % der befragten ethischen Hacker eine Vollzeitkarriere zur Fehlersuche in Betracht ziehen.
Eine Cottage-Branche?
Auch die Bug Bounty Plattformen selbst profitieren von diesem Trend. Investoren haben kürzlich 24 Millionen US -Dollar an Finanzierung in Immunefi, 22 Millionen US-Dollar in Intigriti und 49 Millionen US-Dollar in HackerOne gepumpt.
Dane Sherrets, Lösungsarchitekt für HackerOne, prognostiziert, dass sich die Bug-Bounty-Momente und Auszahlungen in absehbarer Zukunft weiter entwickeln werden, da Blockchain-Unternehmen qualifizierte Sicherheitsexperten nicht schnell genug einstellen können und blockchain-basierte Anwendungen, die mit Kryptowährungsplattformen interagieren, weiterhin verlockende Black-Hat-Ziele (kriminelle) darstellen.
„Ich sehe nicht, dass es über Nacht passiert, aber ich sehe definitiv, dass mehr Menschen involviert werden“, sagt er. „Die Open-Source-Natur dieser Projekte erfordert eine Möglichkeit, Schwachstellenberichte von der Community zu erhalten.“
Eine gewisse Beteiligung könnte ein unerwartetes Segment der Community für Sicherheitsforschung umfassen: Black Hats, die eine Möglichkeit erkennen, mehr Geld zu verdienen, indem sie geradeaus oder zumindest „grau“ gehen.
Bei einigen kürzlichen blockchainbezogenen Angriffen gaben Hacker den größten Teil dessen, was sie den Blockchain-Unternehmen zurückgenommen hatten. Beobachter spekulieren, dass sie in einigen Fällen einen Teil ihrer Übernahme – mit der offensichtlichen Genehmigung ihrer Unternehmensopfer – in dem beibehalten haben, was als umgekehrte Prämienauszahlungen angesehen werden könnte. Wagner sagt, dass er sich „einige Fälle“ davon bewusst ist.
Sherrets sagt in der Zwischenzeit, dass, obwohl Hacker nicht glauben, dass sie Kryptowährung stehlen, um eine umgekehrte Fülle zu erhalten, „es nur die Art und Weise scheint, wie sich die Dinge natürlich entfalten, insbesondere wenn Informationen über die Hacker entdeckt werden oder sie Probleme beim Verschieben der gestohlenen Kryptowährung haben.“
Obwohl Black Hats gestohlene Kryptowährung auf Websites von Kryptowährungsmischern wie Tornado Cash und Blender.io, die das US-Finanzministerium kürzlich genehmigt hat, bezwingen oder waschen könnten, ist es schwierig, dies zu tun, da Blockchain-Transaktionen aufgezeichnet und von jedem sichtbar sind, einschließlich der Strafverfolgung.
„Es ist ein Problem, Kryptowährung in echtes Geld zu verwandeln“, sagt Sherrets.
Öffentliche Haltung
Unternehmen wissen dies und sprechen Cyberkriminelle oft offen an, das Geld unter Verwendung von einvernehmlicher Sprache zurückzugeben, bieten an, keine Strafverfolgung anzustreben, und weisen auf eine Art von Belohnung für ihr gutes Verhalten hin. Als die Kryptowährungsplattform Poly Network im letzten Jahr gehackt wurde, hat sie angeblich ihren Angreifer „Hr. White Hat“ genannt, eine Spende von 500 000 US-Dollar angeboten, um die gestohlenen Gelder freizugeben, und sich freiwillig gemeldet, ihn zum „Chef Security Advisor“ zu machen. Die meisten Gelder wurden zurückerstattet.
„Es ist ein Problem, Kryptowährung in echtes Geld zu verwandeln.“Dane Sherrets, Senior Solutions Architect, HackerOne
Das US-Justizministerium hat Anfang des Jahres ein solches Verhalten festgestellt und eine Olivenfiliale abgehalten, in der es erklärte, es würde den US-amerikanischen Computer Fraud and Abuse Act (CFAA) nicht gegen Hacker durchsetzen , die es bei der Durchführung von „Sicherheitsforschung“ als „gutgläubig“ erachtet.
[Lesen Sie auch: Russlands Cyberwar zielt auf kritische westliche Infrastruktur ab]
Natürlich wird keine dieser Belästigungen wahrscheinlich Hacker, die für Länder wie Nordkorea arbeiten, beeinflussen oder abschrecken, von denen US-Beamte behaupten, dass sie hinter dem Angriff auf das Harmony-Blockchain-Netzwerk standen. Nationalstaaten haben verschiedene Motive, um Cyberangriffe zu starten.
Die Sherrets von HackerOne weisen darauf hin, dass die Prozesse und Preise für Bug Bounty immer noch in Bearbeitung sind und sich wahrscheinlich in den kommenden Monaten und Jahren ändern werden. „Was wir wahrscheinlich in Zukunft sehen werden, ist mehr Gedanken an das Verlustpotenzial und was wir für verschiedene Arten von Auswirkungen bezahlen können“, sagt er. „Ich denke, es ist der Grund dafür, dass die Gewinne weiter steigen werden. Ich denke nur, was bezahlt wird und wie es bezahlt wird, wird anders sein.“
