Bug Bounty

Bug bounty (ang. bug bounty program, program nagród za błędy) to program, w którym firma lub projekt płaci niezależnym badaczom bezpieczeństwa za odpowiedzialne zgłoszenie luk w oprogramowaniu. Zamiast wykorzystać błąd, badacz przekazuje go zespołowi, ten naprawia problem, a zgłaszający dostaje nagrodę. W krypto bug bounty ma szczególną wagę, bo luka w smart kontrakcie oznacza zwykle natychmiastową i nieodwracalną utratę środków.

Jak działa program bug bounty

1. Projekt publikuje zasady: zakres (które kontrakty, strony, aplikacje), zakazane działania, skalę nagród i sposób zgłaszania.
2. Badacze (tzw. white hat) analizują kod i szukają podatności.
3. Zgłoszenie trafia do zespołu poufnie, z opisem błędu i dowodem, że da się go wykorzystać.
4. Zespół ocenia wagę błędu, naprawia go i wypłaca nagrodę według tabeli.
5. Informacja o luce jest publikowana dopiero po naprawie – to tzw. odpowiedzialne ujawnienie.

Programy prowadzą firmy samodzielnie albo przez platformy pośredniczące. W tradycyjnym IT najbardziej znane są HackerOne i Bugcrowd. W krypto dominującą platformą jest Immunefi, która obsługuje programy protokołów DeFi, sieci i mostów.

Skala nagród w krypto

Nagrody zależą od wagi błędu. Typowa skala wygląda tak:

Waga	Przykład luki	Rząd wielkości nagrody
Krytyczna	kradzież lub trwałe zamrożenie środków użytkowników	od kilkudziesięciu tysięcy do milionów USD
Wysoka	kradzież odsetek, czasowe zamrożenie środków	dziesiątki tysięcy USD
Średnia	zakłócenie działania kontraktu bez utraty środków	tysiące USD
Niska	drobne błędy logiki, problemy interfejsu	setki USD

Przy błędach krytycznych w DeFi nagroda często jest liczona jako procent zagrożonych środków (np. 10%) z górnym limitem. Rekordowe wypłaty sięgały milionów dolarów – w 2022 roku most Wormhole zapłacił 10 mln USD za zgłoszenie krytycznej luki.

Przykład: nagroda z programu a „white hat bounty” po ataku

Załóżmy, że protokół ma w kontraktach 50 mln USD i program z zasadą: 10% zagrożonych środków, maksymalnie 1 mln USD.

Sytuacja	Wyliczenie	Wynik
Badacz zgłasza lukę narażającą 20 mln USD	10% × 20 mln = 2 mln, ale limit 1 mln	nagroda 1 mln USD, nikt nie traci środków
Luki nikt nie zgłosił, haker wyprowadza 8 mln USD	negocjacje: 10% z 8 mln = 800 tys. dla hakera	zwrot 7,2 mln USD, strata użytkowników lub skarbca 800 tys. USD

Drugi scenariusz to tzw. white hat bounty po exploicie. Zespół publicznie proponuje sprawcy zatrzymanie części środków jako „nagrody”, jeśli odda resztę w określonym terminie, i zapowiada, że wtedy nie będzie dochodzić roszczeń. Tak kończyło się wiele głośnych ataków, m.in. na Poly Network w 2021 roku. To jednak ratowanie sytuacji, a nie standard – część sprawców nigdy nie oddaje środków.

Na co patrzeć, oceniając projekt

• Czy program istnieje i obejmuje główne kontrakty, a nie tylko stronę internetową.
• Czy maksymalna nagroda jest adekwatna do środków w protokole. Nagroda 50 tys. USD przy setkach milionów w kontraktach słabo zniechęca do ataku.
• Czy projekt wypłacał nagrody i jak reagował na zgłoszenia.
• Czy obok bug bounty były audyty kodu – program nie zastępuje audytu, tylko go uzupełnia.

Najczęstsze błędy

• Uznawanie istnienia programu za dowód bezpieczeństwa protokołu.
• Ignorowanie wysokości nagrody w relacji do zablokowanych środków.
• Traktowanie zwrotu środków po negocjacjach jako pewnika.
• Dla badaczy: testowanie na sieci głównej lub wykraczanie poza zakres, co może wyłączyć ochronę programu.

Perspektywa tradera

Informacja o exploicie uderza w cenę tokena natychmiast, a o negocjacjach z hakerem – po godzinach lub dniach. Gra na odbicie po zapowiedzi zwrotu środków to spekulacja na wynik rozmów, których nie znasz. Jeśli trzymasz środki w protokole DeFi, dziel kapitał między kilka niezależnych protokołów i ustal maksymalny udział jednego z nich w portfelu. Wysoki program bug bounty i świeże audyty obniżają ryzyko, ale go nie usuwają – wielkość pozycji powinna zakładać, że całość środków w jednym kontrakcie może zniknąć.

Najczęstsze pytania

Kto może brać udział w programie bug bounty?

Zwykle każdy, kto przestrzega zasad programu. Niektóre programy wymagają weryfikacji tożsamości przed wypłatą nagrody.

Czym różni się bug bounty od audytu?

Audyt to płatny, jednorazowy przegląd kodu przez wybraną firmę. Bug bounty działa stale i płaci tylko za realnie znalezione błędy.

Czy haker, który odda środki, może zatrzymać nagrodę legalnie?

Projekt może zobowiązać się, że nie będzie dochodzić roszczeń, ale nie wiąże to organów ścigania. Status prawny takiej umowy zależy od jurysdykcji.

Jak sprawdzić, czy projekt ma program bug bounty?

Szukaj informacji w dokumentacji projektu oraz na platformach, takich jak Immunefi, gdzie widoczny jest zakres i maksymalna nagroda.

Dlaczego nagrody w krypto są tak wysokie?

Bo alternatywą dla badacza jest kradzież środków o wartości wielokrotnie wyższej. Nagroda musi sprawić, że uczciwe zgłoszenie się opłaca.

Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.