Bug bounty и ответственное раскрытие

Найти дыру — половина дела; что вы сделаете дальше, определяет, герой вы или преступник.

Ответственное раскрытие (responsible disclosure) — практика, при которой нашедший уязвимость приватно сообщает её владельцам, даёт время на исправление и не использует и не публикует её во вред.

White-hat, чёрный и серый

White-hat — исследователь, который ищет уязвимости, чтобы их закрыли: сообщает приватно, помогает с фиксом, получает вознаграждение и репутацию. Black-hat эксплуатирует дыру ради кражи — это преступление. «Серая зона» («я просто вытащил средства, чтобы их спасти») юридически и этически опасна: несанкционированный доступ остаётся незаконным независимо от намерений. Этот курс — про white-hat-путь: строить защиту и раскрывать ответственно.

Bug bounty: легальный канал

Чтобы направить энергию исследователей в защиту, протоколы запускают программы bug bounty — официально приглашают находить уязвимости за вознаграждение по заранее объявленным правилам (scope, суммы по критичности, как сообщать). Платформы:

Immunefi — крупнейшая площадка bug bounty для Web3; вознаграждения за критические находки бывают очень крупными именно потому, что предотвращённый ущерб огромен.
Code4rena — соревновательные аудиты: множество исследователей одновременно ревьюят код за призовой фонд, находки судятся и оплачиваются.

Эти каналы делают защиту выгоднее атаки и легальной — ключевой механизм здоровья экосистемы.

Как ответственно раскрывать

Поток ответственного раскрытия:
  1) НЕ эксплуатировать на mainnet и не выводить чужие средства
  2) воспроизвести в приватной среде (локальный форк), оценить влияние
  3) сообщить приватно по официальному каналу (bug bounty/контакт security)
  4) дать разумное время на фикс; согласовать раскрытие
  5) публиковать детали только ПОСЛЕ исправления

Как работает под капотом: почему именно так

Преждевременная публикация уязвимости даёт фору атакующим до того, как протокол починится, — раскрытие надо координировать. Демонстрировать находку нужно в своей изолированной среде (локальный форк сети), не трогая реальные средства пользователей. Это и есть граница между этичной демонстрацией и атакой: воздействие на чужие активы без разрешения недопустимо, даже «в благих целях».

Правовые и этические границы

Несанкционированный доступ к чужой системе незаконен во многих юрисдикциях — наличие bug bounty задаёт разрешённые рамки; выходить за scope нельзя.
«Спасательный» вывод средств без согласования — риск уголовной ответственности; правильный путь — приватный контакт и координация.
Уважайте приватность пользователей и условия программы; не вымогайте вознаграждение угрозой публикации.

Частые ошибки

Публичный твит об уязвимости до фикса — подарок атакующим.
Тест эксплойта на mainnet. Это уже воздействие на чужие средства.
Игнорировать scope программы. Выход за рамки лишает легальной защиты.

Итоги

White-hat ищет уязвимости, чтобы их закрыли, и раскрывает ответственно.
Bug bounty (Immunefi, Code4rena) — легальный, оплачиваемый канал для защиты.
Раскрытие координируют: приватно, с временем на фикс, публикация — после исправления.
Несанкционированный доступ незаконен независимо от намерений; оставайтесь в scope.