연구자들이 "매우 무책임하다"고 말하는 취약점 바운티 플랫폼 OpenBounty, 취약점 보고서 공개

한 사용자가 자신이 제출한 취약점 보고서가 퍼블릭 체인에 게시되는 것을 발견한 후 취약점 바운티 플랫폼 OpenBounty는 동료 보안 연구자들로부터 비판을 받았습니다. 오픈바운티는 신고가 접수되면 해당 신고 내용을 오픈바운티의 모회사인 쉔투 재단에서 운영하는 블록체인인 쉔투에 자동으로 트랜잭션으로 게시합니다. 공개되는 세부 정보에는 취약점의 위협 수준, 잠재적으로 취약한 코드의 위치, 보고서 작성자의 의견 등이 포함됩니다. 독립 보안 연구원인 파스칼 카베르사치오는 잠재적인 취약점을 공개적으로 유출하는 것은 매우 무책임한 일이며 해커라면 누구나 보고서를 살펴보고 이를 악용할 수 있다고 말했습니다. 오픈바운티에는 총 예치금이 110억 달러가 넘는 취약점 포상금 프로그램을 제공하는 30개 이상의 암호화폐 프로젝트가 등록되어 있습니다. 보안 연구원들은 또한 OpenBounty가 다른 보안 회사 및 암호화폐 프로젝트의 버그 바운티 보고서를 허가 없이 나열하고 수락한다고 불만을 제기했습니다. 오픈바운티 웹사이트에 등록된 바운티에는 탈중앙화 거래소 유니스왑과 대출 프로토콜 컴파운드의 바운티가 포함되어 있습니다. 암호화폐 보안 회사 OpenZeppelin의 솔루션 아키텍처 책임자 마이클 르웰렌은 "OpenZeppelin의 보안 고문으로서, 저는 컴파운드 DAO가 프로토콜을 대신하여 취약점 바운티를 관리할 권한이 없다고 공식적으로 말할 수 있습니다."라고 말했습니다. 취약점 바운티 플랫폼인 해켄프루프의 CEO인 드미트로 마트비브는 "허가 없이 바운티를 등록하는 것은 법적 결과를 초래할 수 있습니다. 취약점 바운티 마켓플레이스는 신중한 법적 절차에 따라 운영됩니다. 이 시스템에 따라 취약점 바운티 플랫폼에 바운티를 게시하기 전에 바운티 게시자로부터 허가를 받아야 합니다." CertiK의 대변인은 오픈바운티 플랫폼을 관리하는 법인인 Shentu가 CertiK의 일부였으나 2020년부터 별도의 법인으로 자율적으로 운영되고 있다고 확인했습니다. 그러나 분리된 지 4년이 지난 지금도 OpenBounty 플랫폼의 코드는 여전히 CertiK의 이름을 가진 도메인으로 연결됩니다. 그러나 CertiK의 대변인은 해당 도메인은 쉔투에서 독립적으로 관리하고 있다고 말했습니다. (DL 뉴스)