Jay Freeman war gerade dabei, ein wenig herumzustöbern, als er zufällig auf den größten Geldsegen seines Lebens stieß.
Freeman ist ein Sicherheitsforscher, der dafür bekannt ist, Software für Betriebssysteme von Mobiltelefonen zu entwickeln, bei denen ein „Jailbreak“ vorgenommen wurde (d. h., die so modifiziert wurden, dass Nutzer ihr Betriebssystem individuell anpassen können). Eines Tages beschäftigte er sich zufällig damit, wie „-Smart-Contracts“ funktionieren, um Transaktionen auf Optimism zu ermöglichen – einer Ethereum-Blockchain, die von dem von ihm mitbegründeten Open-Source-Softwareunternehmen Orchid Labs genutzt wird. Zu Freemans Überraschung stieß er in einer virtuellen Maschine auf etwas, das wie ein schwerwiegender Softwarefehler aussah, der es einem Hacker ermöglichen könnte, digitale Währung im Wert von Millionen oder sogar Milliarden Dollar zu generieren – und zu stehlen.
Nachdem er einen „Proof of Concept“ erstellt hatte, um seine Arbeit zu überprüfen und den potenziellen Schaden für ein Unternehmen detailliert darzulegen, gelangte er zu der Überzeugung, dass er auf der richtigen Spur war. Zunächst dachte er, dies wäre ein hervorragendes Thema für eine Rede, die er auf einer Sicherheitskonferenz halten sollte. Dann erfuhr er, dass Optimism kürzlich im Rahmen des Programms „ “ eine hohe Prämie für jeden ausgesetzt hatte, der schwerwiegende Sicherheitslücken in seinem Code aufdeckte. Freeman legte seine Ergebnisse vor. Optimism bestätigte das Vorhandensein der Sicherheitslücke, und kurze Zeit später erhielt Freeman 2 Millionen Dollar.
„Damit habe ich nicht gerechnet“, sagt er. „Das war so, als würde man die Straße entlanggehen, über ein Schlagloch stolpern, denken, dass dieses Schlagloch dort nicht sein sollte, sich fragen, wem man das Schlagloch melden sollte, und dann herausfinden, dass es eine Belohnung in Höhe von mehreren Millionen Dollar für Hinweise zu diesem Schlagloch gibt.“ Dann rufe ich so etwas wie: ‚Juhu!‘“
Bug-Bounties nehmen im Web 3,0 explosionsartig zu
Bug-Bounties gibt es in der Welt von „ “ und „Web 2,0“ ( ) bereits seit geraumer Zeit. Die meisten Einzelauszahlungen beschränkten sich jedoch auf fünf- oder sechsstellige Beträge. Angesichts der Tatsache, dass (zum Zeitpunkt der Drucklegung) Kryptowährungen im geschätzten Wert von 920,6 Milliarden US-Dollar im von der Blockchain-Technologie getragenen Web 3,0 -Bereich im Umlauf sind, zahlen Anbieter mittlerweile höhere Preise.
Und noch viel mehr. Tatsächlich wird der gesamte Bug-Bounty-Markt – dessen Wert im Jahr 2020—is auf 223,1 Millionen US-Dollar geschätzt wurde – laut dem Marktforschungsunternehmen All the Research (ATR) voraussichtlich um 54 % pro Jahr wachsen und bis zum Jahr 2027 5,5 Milliarden US-Dollar erreichen.
Der Sicherheitsforscher und White-Hat-Hacker Gerhard Wagner erhielt von der „ “ eine Prämie in Höhe von 2 Millionen Dollar für die Entdeckung eines Fehlers – Berichten zufolge eine der höchsten Prämien, die im vergangenen Jahr ausgezahlt wurden. Nachdem er festgestellt hatte, dass der Wert der Auszahlungen im Zusammenhang mit Kryptowährungen „explodierte“, begann er mit der Suche nach Sicherheitslücken und entdeckte im vergangenen Oktober eine kritische Schwachstelle in der Plasma Bridge von Polygon. Die Sicherheitslücke in der Cross-Chain-Brücke – der Verbindung, die zur Abwicklung von Transaktionen zwischen Blockchains dient – hätte es einem Angreifer ermöglichen können, Kryptowährungen im Wert von bis zu 224 Millionen US-Dollar abzuheben. Wäre dies wiederholt geschehen, hätte man möglicherweise den gesamten Bestand von Polygon im geschätzten Wert von 850 Millionen Dollar abziehen können.
„Ich war überrascht“, gibt er zu. „Ich habe einen Proof-of-Concept durchgeführt, um zu prüfen, ob der von mir getestete Angriff tatsächlich funktionierte, und selbst als dies der Fall war, sagte ich immer wieder: ‚Das kann doch nicht stimmen.‘“ Dennoch habe ich den Fehler bei Polygon gemeldet, um zu sehen, was passieren würde. „Sie haben geantwortet, das Problem bestätigt, und danach ging alles sehr zügig.“
[Lesen Sie auch: Warum die Brücken zwischen Blockchains unter Beschuss stehen]
Blockchain-Unternehmen sind heutzutage bereit, höhere Prämien zu zahlen als Softwareunternehmen in der Vergangenheit, da sie im Falle eines Angriffs weitaus größere Verluste zu befürchten haben. Sie könnten nicht nur ihr eigenes Geld verlieren, sondern auch die Kryptowährung, die Kunden in digitalen Geldbörsen hinterlegt haben. Tatsächlich gingen in der ersten Hälfte des Jahres 2022 fast 2 Milliarden Dollar durch Hackerangriffe auf Kryptowährungsplattformen verloren. Zu den größten Hackerangriffen seit Ende 2021 zählen: Poly Network (611 Millionen US-Dollar), Ronin Network (625 Millionen US-Dollar), Wormhole (325 Millionen US-Dollar), Nomad (200 Millionen US-Dollar) und Harmony (100 Millionen US-Dollar).
Kopfgelder – eine Erläuterung
Unternehmen aus dem Bereich „Web 3,0 “, die sich Sorgen um diese neuartigen Bedrohungen machen, bieten in der Regel auf verschiedene Weise Kopfgelder an. Ihre Methoden könnten sich für Sicherheitsverantwortliche in Unternehmen als nützlich erweisen, die sich im „Wilden Westen“ der neuen Technologien versuchen.
„. Ich sagte immer wieder: ‚Das kann doch nicht stimmen.‘“ Ich habe den Fehler jedoch trotzdem bei Polygon gemeldet, um zu sehen, was passieren würde … und danach ging alles sehr schnell.”Gerhard Wagner, Sicherheitsforscher und White-Hat-Hacker
Zunächst kommen Unternehmen zu dem Schluss, dass ihnen die Ressourcen fehlen, um die Arbeit selbst zu erledigen, und beschließen daher, sogenannte „White-Hat-Hacker“, die auf ihrer Seite stehen, zu beauftragen, Schwachstellen in ihrem Code aufzudecken. Sie schätzen, wie viel Geld sie verlieren könnten, und legen als Faustregel häufig Kopfgeldbeträge fest, die etwa 10 % des potenziellen Verlusts ausmachen.
Die meisten Unternehmen unterbreiten daraufhin ein Angebot auf Bug-Bounty-Plattformen wie Immunefi, HackerOne und Intigriti. Wenn Forscher glauben, etwas entdeckt zu haben, reichen sie einen Proof-of-Concept direkt bei einem Unternehmen oder einer Prämienplattform ein. Ihre Arbeit wird bewertet, und sie werden belohnt, wenn sie als gültig anerkannt wird.
Theoretisch funktioniert das System gut. Allerdings werden nicht alle weißen Hüte verkauft. Freeman sagt, dass einige Forscher ein Crowdsourcing-Modell ablehnen, bei dem sie Tage oder Wochen damit verbringen, Code ohne Vergütung zu prüfen. Andere befürchten, dass Unternehmen zweifelhafte Ausreden vorbringen könnten, um Prämien zu verweigern, selbst wenn diese eindeutig verdient wurden.
Diese Bedenken scheinen jedoch nachzulassen, da die Auszahlungen weiter steigen. Experten zufolge sind, wie aus informellen Quellen hervorgeht, etwa 2 000 Bug-Bounty-Jäger hauptberuflich tätig. Intigriti berichtet jedoch, dass sich 50 000 Forscher zwischen April 2021 und April 2022 für seine Dienste angemeldet haben, was einem Anstieg von 43 % entspricht; und eine aktuelle Umfrage von Intigriti ergab, dass 66 % der befragten ethischen Hacker eine Vollzeitkarriere als Bug-Hunter in Betracht ziehen.
Entsteht hier eine Heimindustrie?
Auch die Bug-Bounty-Plattformen selbst profitieren von diesem Trend. Investoren haben kürzlich 24 Millionen US-Dollar in Immunefi, 22 Millionen US-Dollar in Intigriti und 49 Millionen US-Dollar in HackerOne investiert.
Dane Sherrets, Solutions Architect bei HackerOne, prognostiziert, dass die Dynamik im Bereich der Bug-Bounty-Programme und die Auszahlungen auf absehbare Zeit weiter zunehmen werden, da Blockchain-Unternehmen nicht schnell genug qualifizierte Sicherheitsexperten einstellen können und blockchainbasierte Anwendungen, die mit Kryptowährungsplattformen interagieren, weiterhin verlockende Ziele für Black-Hat-Hacker (Kriminelle) darstellen.
„Ich glaube nicht, dass sich das von heute auf morgen ändern wird, aber ich sehe definitiv, dass sich immer mehr Menschen engagieren“, sagt er. „Da es sich bei diesen Projekten um Open-Source-Projekte handelt, muss es eine Möglichkeit geben, Sicherheitslückenmeldungen aus der Community entgegenzunehmen.“
An dieser Entwicklung könnte auch ein unerwarteter Teil der Sicherheitsforschungsgemeinschaft beteiligt sein: Black-Hat-Hacker, die darin eine Chance sehen, mehr Geld zu verdienen, indem sie auf die „gerade“ Seite wechseln oder zumindest in den „grauen“ Bereich übergehen.
Bei einigen kürzlich verübten Angriffen im Zusammenhang mit der Blockchain haben Hacker den Großteil der erbeuteten Mittel an die Blockchain-Unternehmen zurückgegeben. Beobachter vermuten, dass sie in einigen Fällen einen Teil ihrer Beute – offenbar mit Zustimmung der betroffenen Unternehmen – einbehielten, was als eine Art umgekehrte Kopfgeldzahlung angesehen werden könnte. Wagner sagt, ihm seien „ziemlich viele Fälle“ dieser Art bekannt.
Sherrets erklärt unterdessen, dass er zwar nicht glaube, dass Hacker Kryptowährung stehlen, um eine umgekehrte Prämie zu erhalten, „aber es scheint einfach so zu laufen, insbesondere wenn identifizierende Informationen über die Hacker auftauchen oder sie Probleme beim Transfer der gestohlenen Kryptowährung haben.“
Auch wenn Kriminelle gestohlene Kryptowährung auf Kryptowährungs-Mixer-Websites wie (Tornado Cash), und (Blender.io) – gegen die das US-Finanzministerium kürzlich Sanktionen verhängt hat – weiterverkaufen oder waschen könnten, ist dies nur schwer möglich, da Blockchain-Transaktionen aufgezeichnet werden und für jedermann, einschließlich der Strafverfolgungsbehörden, einsehbar sind.
„Es ist mühsam, Kryptowährung in echtes Geld umzuwandeln“, sagt Sherrets.
Öffentliche Selbstdarstellung
Unternehmen sind sich dessen bewusst und appellieren oft offen an die Cyberkriminellen, das Geld zurückzugeben, wobei sie versöhnliche Formulierungen verwenden, anbieten, keine Strafverfolgung einzuleiten, und Andeutungen auf eine Art Belohnung für ihr gutes Verhalten machen. Als beispielsweise die Kryptowährungsplattform Poly Network im vergangenen Jahr gehackt wurde, griff sie Berichten zufolge darauf zurück, den Angreifer als „Mr. White Hat“ zu bezeichnen, bot eine Belohnung von 500 000 US-Dollar für die Freigabe der gestohlenen Gelder an und bot ihm an, ihn zu ihrem „Chef-Sicherheitsberater“ zu ernennen. Der Großteil der Mittel wurde unter zurückerstattet.
„Es ist mühsam, Kryptowährung in echtes Geld umzuwandeln.“Dane Sherrets, leitender Lösungsarchitekt bei HackerOne
Nachdem das US-Justizministerium dieses Verhalten Anfang des Jahres zur Kenntnis genommen hatte, streckte es einen Friedenszweig aus und erklärte, dass es das Bundesgesetz „Computer Fraud and Abuse Act“ (CFAA) nicht gegen Hacker durchsetzen werde, bei denen es davon ausgeht, dass sie bei der Durchführung von „Sicherheitsforschung“ in „gutem Glauben“ handeln.
[Lesen Sie auch: Russlands Cyberkrieg zielt auf kritische Infrastrukturen im Westen ab]
Natürlich dürfte keine dieser Beschwichtigungsmaßnahmen Hacker beeinflussen oder abschrecken, die für Nationalstaaten wie Nordkorea arbeiten, das laut US-Behörden hinter dem Angriff auf das Harmony-Blockchain-Netzwerk stehen soll. Nationalstaaten verfolgen unterschiedliche Motive für die Durchführung von Cyberangriffen.
Sherrets von HackerOne weist darauf hin, dass sich die Abläufe und Preisgestaltung im Bereich Bug-Bounty nach wie vor im Wandel befinden und sich in den kommenden Monaten und Jahren wahrscheinlich noch ändern werden. „Was wir in Zukunft wahrscheinlich erleben werden, ist, dass man sich intensiver mit dem Verlustpotenzial und der Frage befassen wird, welche Kosten für verschiedene Arten von Auswirkungen zu tragen sind“, sagt er. „Ich halte es für naheliegend, dass die Kopfgelder weiter steigen werden.“ „Ich glaube einfach, dass sich ändern wird, wofür bezahlt wird und wie die Bezahlung erfolgt.“
