منصة مكافآت الأخطاء OpenBounty تُصدر علنًا تقريرًا عن نقاط الضعف، ويصفه الباحثون بأنه "غير مسؤول للغاية"

تعرضت منصة مكافآت الأخطاء OpenBounty لانتقادات شديدة من زملائها الباحثين في مجال الأمن بعد أن اكتشف المستخدمون أن تقارير الضعف الخاصة بهم تم نشرها على blockchain العامة. عندما تتلقى OpenBounty التقارير، فإنها تنشر تلقائيًا محتويات تلك التقارير كمعاملات على Shentu، وهي سلسلة الكتل التي تديرها الشركة الأم لـ OpenBounty، مؤسسة Shentu. تتضمن التفاصيل التي تم الكشف عنها مستوى تهديد الثغرة الأمنية، وموقع التعليمات البرمجية التي يحتمل أن تكون معرضة للخطر، وتعليقات من مؤلف التقرير. وقال الباحث الأمني ​​المستقل باسكال كافيراتشيو إن التسريب العلني لنقاط الضعف المحتملة هو أمر غير مسؤول للغاية ويمكن لأي متسلل أن يدقق في هذه التقارير ويستغلها. يسرد OpenBounty برامج مكافآت الأخطاء التي يقدمها أكثر من 30 مشروع عملات مشفرة، بإجمالي إيداعات تزيد قيمتها عن 11 مليار دولار. اشتكى الباحثون الأمنيون أيضًا من أن OpenBounty يدرج ويقبل تقارير مكافآت الأخطاء التي تقدمها شركات الأمان الأخرى ومشاريع التشفير دون إذنهم. من بين الجوائز المدرجة على موقع OpenBounty هي تلك المقدمة من منصة التبادل اللامركزي Uniswap وبروتوكول الإقراض Compound. قال مايكل لويلين، مدير هندسة الحلول في شركة أمن التشفير OpenZeppelin: "باعتباري المستشار الأمني ​​لـ Compound DAO في OpenZeppelin، يمكنني أن أقول بشكل رسمي إنهم غير مخولين بإدارة مكافآت الأخطاء نيابة عن البروتوكول". قال دميترو ماتفيف، الرئيس التنفيذي لمنصة مكافآت الأخطاء HackenProof: "إن إدراج المكافآت دون إذن يمكن أن يكون له عواقب قانونية. يعمل سوق مكافآت الأخطاء بموجب عملية قانونية مدروسة جيدًا، قبل أن يتم وضع المكافأة على منصة مكافآت الأخطاء، يجب الحصول على إذن يجب الحصول عليها من ناشر المكافأة." أكد متحدث باسم CertiK أن Shentu، الكيان الذي يتحكم في منصة OpenBounty، كان في السابق جزءًا من CertiK، ومع ذلك، فإن Shentu تعمل بشكل مستقل ككيان منفصل منذ عام 2020. ومع ذلك، بعد مرور أربع سنوات على الانقسام، لا يزال الكود الموجود على منصة OpenBounty يرتبط بالنطاقات التي تحمل CertiK في أسمائها. ومع ذلك، قال متحدث باسم CertiK إن النطاقات تتم إدارتها بشكل مستقل بواسطة Shentu. (أخبار دي إل)