脆弱性報奨金プラットフォームOpenBounty、研究者が「極めて無責任」と呼ぶ脆弱性レポートを公開

脆弱性報奨金プラットフォームのOpenBountyは、あるユーザーが提出した脆弱性レポートがパブリックチェーン上に掲載されていることを発見した後、同僚のセキュリティ研究者から批判を浴びている。OpenBountyは報告を受けると、その内容をOpenBountyの親会社であるShentu Foundationが運営するブロックチェーン、Shentuにトランザクションとして自動的に投稿する。 公開される詳細には、脆弱性の脅威レベル、潜在的に脆弱なコードの場所、レポート作成者のコメントなどが含まれる。独立系のセキュリティ研究者であるパスカル・カヴェルサッチョ氏は、潜在的な脆弱性を公にリークすることは極めて無責任であり、どんなハッカーでもレポートをふるいにかけて悪用することができると述べている。 OpenBountyには、脆弱性報奨金プログラムを提供する30以上の暗号プロジェクトがリストアップされており、その総預託額は110億ドルを超えている。 セキュリティ研究者たちは、OpenBountyが他のセキュリティ企業や暗号プロジェクトからのバグ報奨金報告を掲載し、許可なく受け入れていることにも不満を表明している。 OpenBountyのウェブサイトに掲載されている報奨金には、分散型取引所Uniswapや貸出プロトコルCompoundのものも含まれている。 暗号セキュリティ会社OpenZeppelinのソリューション・アーキテクチャ責任者であるMichael Lewellen氏は、"OpenZeppelinのCompound DAOのセキュリティアドバイザーとして、私は彼らがプロトコルに代わって脆弱性報奨金を管理する権限を与えられていないと自信を持って言えます "と述べた。 脆弱性報奨金プラットフォームHackenProofのCEOであるDmytro Matviiv氏は、「認可を受けずに報奨金を掲載することは、法的な結果を招く可能性があります。脆弱性報奨金市場は、考え抜かれた法的プロセスの下で運営されています。このシステムの下では、脆弱性報奨金プラットフォームに報奨金を掲載する前に、報奨金発行者から許可を得なければなりません。" CertiKの広報担当者は、OpenBountyプラットフォームを管理する事業体であるShentuが以前はCertiKの一部であったことを確認したが、Shentuは2020年以降、別の事業体として自律的に運営されている。しかし、分裂から4年経った今でも、OpenBountyプラットフォーム上のコードは、CertiKを名前に含むドメインにリンクしている。しかし、CertiKの広報担当者は、ドメインはShentuによって独立して管理されていると述べた。(DLニュース)