IOSG Ventures: 커뮤니티 중심 포상금 및 감사 시장에 대한 포괄적인 해석

星球君的朋友们

Odaily资深作者

2023-07-11 10:17 (UTC+8)

이 기사는 약 5475자로, 전체를 읽는 데 약 8분이 소요됩니다

보안 분야의 군집 지능.

AI 요약

보안 분야의 군집 지능.

머리말

대규모 컴퓨터 시스템으로서 블록체인의 현재 시스템 복잡성은 5년 전 수준을 훨씬 초과했으며, 인프라 모듈화 정도는 더욱 정교해지고, 애플리케이션 계층의 스마트 계약 논리는 점점 더 풍부해지고 있으며, 계약 간의 상호 작용이 매우 빈번하고, 더 중요한 것은 블록체인 시스템에서 관리하는 자산의 수가 이미 매우 많기 때문에 최근 블록체인 보안 커뮤니티에서 보안 주기에 대한 논의가 더 많아졌습니다(상황은 2017년과 동일). , 사람들이 보안을 생각할 때 개발자만 생각하는 것은 계약서를 작성하고 이를 이더리움 재단의 친구들에게 던져서 살펴보고 몇 가지 기본 테스트를 수행하는 것과는 매우 다릅니다.

블록체인 프로그램의 보안 수명 주기(테스트, 제3자 감사 초대부터 이벤트 후 모니터링, 감사 업데이트까지) 전반에 걸쳐 버그 바운티 커뮤니티는 게임 이론과 클러스터 작업을 통해 블록체인에 화이트 해커를 유치하는 안전 쿠션과 같습니다. 프로젝트 당사자의 코드는 마지막으로 검토될 예정이며 일부 스마트 계약 보안 작업자는 버그 바운티가 방어선의 마지막 사람에 가깝다고 생각하지만 버그 바운티와 감사 대회는 잠재적인 가능성이 있다고 생각합니다. 보안 라이프사이클 역할은 시스템의 전반적인 보안을 향상시킵니다.

물론 전통적인 네트워크 보안 분야에도 버그 포상금 프로그램(Bug Bounty 또는 Vulnerabilty Rewards)이 있습니다. 먼저 Facebook, Google, Microsoft 등 주요 기술 회사에서는 자체 내부 보안 팀을 위해 포상금 프로그램을 배포하고 둘째, HackerOne과 Bugcrowd로 대표되는 버그 바운티 제3자 플랫폼은 2015년경부터 등장했습니다. 각각 거의 5천만 달러와 2천만 달러입니다. 블록체인 세계에서 포상금은 보안계에서 자주 논의되는 더 흥미로운 주제입니다. 주된 이유는 블록체인 코드의 오픈 소스가 실제로 해킹 비용과 공격 전략 업그레이드 비용을 더 저렴하게 만들어준다는 것입니다. 또한 암호화폐 세계는 강력하게 이들은 보다 개방적인 화이트햇 경제를 더욱 가치 있게 만드는 기여 모델에 열려 있는 작업, 창조자 및 소유 경제를 클러스터링하는 것을 옹호합니다.

버그 포상금과 감사 콘테스트는 무엇이며 왜 필요한가요?

컴퓨터 보안 전문가이자 암호학자인 브루스 슈나이어(Bruce Schneier)가 말했듯이 보안은 공격자와 방어자 사이의 역동적인 게임입니다. 보안은 제품이 아니라 프로세스입니다. 모든 측면에서 소프트웨어 개발 프로세스를 거쳐야 하는 사고 방식입니다. 모든 코드가 오픈소스이고 투명한 어둠의 숲인 블록체인 세계에서 오랫동안 살아남고자 하는 블록체인 프로젝트는 제품/계약의 보안에 대한 끊임없는 요구가 있어야 합니다. 재무적 속성이 적습니다.금융에서 가장 중요한 자산은 신뢰이며, 사용자의 신뢰는 한 번뿐입니다.

전통적인 감사의 단점과 문제점은 어디에 있습니까? 이러한 문제를 보완하기 위해 커뮤니티 중심의 버그 현상금 및 감사 경쟁이 어떤 이점을 가질 수 있습니까?

감사 서비스를 사용하는 개발자는 종종 다음과 같은 사실을 발견합니다.

제3자 감사업체의 서비스를 구매한 후에도 감사 후에도 여전히 코드에 문제가 있으며 이러한 문제의 원인은 (기술적, 비기술적) 다르지만 궁극적으로 감사업체에 의존하는 것이 좋지 않음을 보여줍니다. 코드 감사의 품질은 여전히 감사자의 수준에 따라 달라지며 고객은 누가 더 나은지를 식별하는 능력이 부족한 경우가 많습니다.
포상금 플랫폼과 감사 경쟁은 더욱 개방적인 샌드박스입니다. 프로젝트 코드는 백모자가 마음대로 검토할 수 있으며 배경은 제한되지 않습니다(전문 감사 회사의 인력이 있을 수도 있고 프리랜스 보안 분석이 있을 수도 있음). 저자), 무기고는 제한되지 않으며 모든 고객이 해야 할 일은 합리적인 보너스를 설정하고 흰 모자가 문제를 발견하면 기여금을 지불하는 것입니다.
일반적으로 고객은 먼저 화이트 해커의 검토에 필요한 코드를 제출하고, 취약점의 보안 수준을 정의합니다(일반적으로 경제적 손실 가능성과 관련되며, 경제적 손실을 직접적으로 유발하는 취약점이 쉬울수록 심각도 수준이 높아짐). 포상금 예산, 테스트된 코드 범위, 심지어 테스트 단계까지.

시장은 얼마나 큽니까?

포상금 플랫폼 및 감사 대회의 비즈니스 모델은 일반적으로 고객이 지불한 포상금의 일부 또는 플랫폼의 서비스 수수료로 설정된 전체 보너스 풀을 인출하는 것입니다. 코드 보안 감사가 필요한 고객(프로젝트 당사자)은 자신의 필요(감사해야 할 코드, 취약점의 심각도를 정의하는 방법, 지불할 보상 금액)에 따라 바운티 플랫폼에 계획을 발표합니다. 취약점은 프로젝트 측의 필요에 따라 발견되며, 화이트 해트가 허점을 찾아 프로젝트 측의 요구를 충족하면 포상금이 화이트 햇에게 분배되고 바운티 플랫폼은 추첨을 통해 포상금을 지급합니다. 서비스 수수료로 수수료를 받습니다.

Web2 전통적인 네트워크 보안 분야에서도 버그 바운티 플랫폼은 비교적 젊은 방향(2012년 이후 등장)이며, 현재 가장 큰 버그 바운티 플랫폼은 HackerOne과 Bugcrowd이다. 2022년 해커원의 연간 매출은 5,800만 달러, 회사 가치는 약 5억 달러, 역대 지급된 누적 현상금은 2억 3,000만 달러(2021년과 2022년에는 1억 5,000만 달러)에 이를 것으로 예상된다. , 등록된 해커 수는 100만 명이 넘고, 매월 HackerOne 서비스를 이용하는 고객은 1,000명 이상입니다. 경쟁사인 Bugcrowd는 2022년에 2천만 달러 이상의 수익을 올릴 것으로 예상됩니다.

Web3 보안 분야에서는 2022년 모든 web3 버그 바운티 및 감사 경쟁 플랫폼이 화이트 해커에게 총 5천만 달러의 포상금을 발행할 예정이며, 해당 플랫폼의 평균 과금 수준은 약 10%~30%입니다. 따라서 보수적으로 추정됩니다. 현재 시장 규모는 약 500만~1,500만 달러이며 여전히 매우 신흥 시장입니다.

또 다른 흥미로운 점은 분산형 보안 커뮤니티에서 제공하는 코드 감사 서비스를 직접 사용하려는 고객이 점점 늘어나고 있다는 점인데, 대신 제3자 감사 회사는 현재 최대 규모의 분산형 감사 경쟁 플랫폼인 Code 4 Rena를 선택하고 설정했습니다. 미화 100만 달러의 상금 풀 오늘날 전통적인 보안 감사 시장의 참여가 점점 더 커지고 있습니다(인적 자원의 규모, 기술 도구의 규모, 시장 BD의 규모). 분산형 보안 서비스가 이 시장에서 중요한 성장을 이룰 수 있을까요? (현재 시장에는 56개의 감사회사가 있으며, 지난 1년 동안 선두회사들의 매출은 1,000만 달러에서 4,000만 달러 사이였습니다. 탈중앙화 보안 시장에는 상상의 여지가 많다고 생각합니다.)

버그 바운티 플랫폼과 감사 콘테스트 플랫폼

버그 바운티 플랫폼은 web2에서 10년의 개발 역사를 가지고 있지만, 감사 경쟁 플랫폼은 web3 네이티브에서는 새로운 것입니다. 감사 경쟁 서비스의 목적은 제품이나 새로운 기능을 곧 출시하려는 프로젝트 당사자이며, 분산형 커뮤니티의 힘을 활용하여 특정 시간(2주 이상) 내에 감사 서비스를 완료하도록 돕는 것입니다. 관점에서 볼 때, 감사 경쟁은 전통적인 감사 회사에 중소기업 위협을 가져오지 않을 것입니다.

참여 방식

Immunefi와 같은 버그 바운티 플랫폼은 일반적으로 누구나 언제든지 참여할 수 있는 공개 프로젝트입니다. 참가자는 일반적으로 보상을 받는 대가로 취약점을 독립적으로 탐색하고 보고합니다. 두 사람이 동일한 취약점을 반복적으로 발견할 경우 선착순 원칙에 따라 먼저 신고한 사람이 먼저 보상을 받게 됩니다.

커뮤니티 중심의 감사 경쟁 플랫폼(예: Code 4 rena, Sherlock)은 시간 제한이 있는 경우가 많으며 특정 시간 내에 취약점을 찾아 보고하기 위해 참가자와 경쟁합니다. 포상금 플랫폼과 비교하면 약간의 팀워크가 있을 것입니다(예를 들어 각 프로젝트에는 수석 수석 감사관과 수석 심사관이 명확하게 할당되어 있으며 최종적으로 모든 감사 결과를 검토하고 요약하여 고객에게 감사 보고서를 작성합니다. 또한 커뮤니티 선거 및 경쟁의 분권화 원칙을 따릅니다. 또한, 두 명의 감사 경쟁자가 지정된 시간 내에 반복적으로 허점을 발견하면 두 사람 모두 보상을 받을 수 있습니다.

보상 구조

두 회사가 지급하는 실제 보상은 주로 발견된 취약점의 심각도를 고려합니다.

유일한 차이점은 Code 4 Rena와 같은 커뮤니티 중심의 감사 경쟁 플랫폼은 실제로 전통적인 감사를 수행하기 때문에 선임 감사관과 수석 심사위원에게 할당된 각 프로젝트에 대한 상금 풀의 고정된 부분(5% ~ 10%)을 갖게 된다는 것입니다. 회사 프로젝트 담당자의 역할입니다.

또 다른 흥미로운 점은 버그 바운티 플랫폼의 프로젝트 당사자가 프로젝트 토큰을 보상으로 배치하는 경우도 있지만, 커뮤니티의 일부 화이트 해커는 가격 변동 대신 USDC 및 USDT와 같은 스테이블 코인을 얻는 것을 선호하는 것을 보았습니다.

범위와 초점

버그 포상금 플랫폼 프로젝트는 일반적으로 범위가 넓은 반면, 감사 경쟁 프로젝트는 일반적으로 소프트웨어의 특정 기능이나 측면을 대상으로 하는 보다 집중적인 범위를 가지며, 화이트 해커는 더 짧은 시간 내에 작업을 완료하는 데 집중해야 합니다.

감사 경쟁에 초점을 맞춘 프로젝트

Code 4 Rena - e스포츠와 유사한 커뮤니티 중심 감사 경쟁 플랫폼

Code 4 Rena에는 세 가지 문자 유형이 있습니다.

1. 감사자(감시자)가 코드를 검토합니다. 전문 보안 엔지니어부터 더 많은 경험을 쌓고 싶은 초보 개발자까지 누구나 감사자로 등록하여 공개 감사 대회에 참가할 수 있습니다.

2. 심사위원은 일반적으로 C 4 커뮤니티에서 최고의 엔지니어입니다. 취약점의 심각도, 효율성, 품질을 결정하고 감사 성과를 평가합니다.

3. 스폰서는 Opensea, Blur, ENS, Chainlink 등과 같은 프로젝트 당사자입니다. 이들은 프로젝트 코드를 감사할 감사자를 유치하기 위해 보너스 풀을 만듭니다. 후원자는 또한 개인 정보 보호를 강화하기 위해 비공개 초대 전용 대회를 주최할 수도 있습니다.

가장 흥미로운 점 중 하나는 Code 4 Rena가 구축하는 문화입니다. 협업과 팀워크가 장려됩니다. 기존의 버그 포상금 프로그램과 달리 Code 4 Rena는 취약성이 이미 보고되었더라도 유효한 취약성을 보고하는 모든 감사자에게 비용을 지불합니다. 이는 심각도가 높고 일반적인 취약점을 찾으려는 동기를 부여받은 감사자 간의 건전한 경쟁을 장려합니다. 이 플랫폼에서 일부 감사자는 임시 팀을 구성하여 함께 허점을 찾습니다.

비즈니스 모델:

모든 프로젝트는 Code 4 rena로 이동하여 감사 경쟁 프로그램을 시작하고 USDC 또는 ETH를 제공하여 기본 상금 풀을 설정할 수 있습니다(일반적으로 상금 풀의 크기는 $40,000 ~ $100,000). Code 4 rena는 기본 상금에서 20%를 청구합니다. 경쟁 조직, 리뷰 제공, 감사 결과 보고서 정리를 위한 플랫폼 서비스 수익인 상금 풀입니다. 프로젝트 당사자는 기본 상금 풀 외에 프로젝트 토큰을 제공하여 추가 상금 풀을 설정할 수도 있으며, Code 4 rena는 이 추가 상금 풀의 40%를 청구합니다.

Sherlock - 스마트 계약 보험을 통한 커뮤니티 중심 감사

Code 4 rena와 마찬가지로 Sherlock도 감사자, 후원자, 심사위원 등의 역할을 갖고 있으며, Sherlock의 독특함은 플랫폼에서 제공하는 보험 서비스에 있습니다. Sherlock 플랫폼의 보험 풀에는 누구나 투자할 수 있으며, 투자자는 USDC를 보험 풀에 예치하고 계약 고객은 스마트 계약이 해킹될 위험을 헤지하기 위한 서비스를 구매할 수 있습니다. 보험 투자자의 수입원에는 계약 고객이 지불한 보험료 + 다른 DeFi 풀(Aave, 컴파운드 등)에 보험 풀 자금을 예치하여 얻은 이자 + Sherlock 토큰 인센티브가 포함됩니다. 그러나 투자자는 혜택을 누리면서 정책을 상환할 위험을 감수합니다.

Code 4 rena와 다른 또 다른 점은 플랫폼이 제공하는 감사 서비스 수익의 분배 메커니즘입니다. Code 4 rena와 비교하여 Sherlock에는 수석 보안 감사관과 수석 판사가 상근 수석 감사관에게 적절한 보상과 동기를 부여하기 위해 보너스 풀에서 고정 금액(5% ~ 10%)을 받을 수 있도록 하는 규칙이 있습니다. 또한 리더십 역할 선택을 위한 선택 및 경쟁 시스템이 있습니다.

해커 커뮤니티를 구축하는 방법은 무엇입니까? Web3 화이트햇의 가장 큰 고민은 무엇인가요?

다양한 분산형 보안 커뮤니티(ImmuneFi, Hats Finance, Code 4 Rena, Sherlock 등)를 관찰하고 일부 보안 기업가와 대화를 나눈 후 모든 분산형 플랫폼이 수행하는 작업은 다음과 같다고 생각합니다. 보다 건강하고 효율적인 A를 구축하는 것입니다. 커뮤니케이션 및 협업 플랫폼 바운티 플랫폼은 해커와 프로젝트 사이의 마켓플레이스와 같습니다. 해커의 관점에서 자신의 요구 사항을 고려해야 하며(아래 표 참조) 동시에 가장 우려되는 사항(감사 품질)을 고려해야 합니다. .

Source: 《Bug Hunters’ Perspectives on the Challenges and Benefits of the Bug Bounty Ecosystem》

몇 가지 일반적인 요구 사항 외에도 Immunefi White Hat 커뮤니티(내가 본 가장 활발한 White Hat Discord 커뮤니티)에서 몇 가지 흥미로운 주제도 보았습니다.

예를 들어:

Rappie라는 흰 모자는 이전에 발견한 몇 가지 프로젝트 허점을 공개하고 어떤 커뮤니티 규칙을 따라야 하는지 묻습니다. (1. 수정된 버그만 공개하십시오. 2. 공개 정보가 프로토콜이나 사용자에게 부정적인 영향을 미치지 않는지 확인하십시오. 기밀 정보를 유지하십시오. 예: SQL 주입 취약점을 수정한 후에는 해당 프로토콜에 대한 정보를 공개하지 마십시오. 3. 공개하기 전에 프로젝트 팀에 비공개 메시지를 보내야 하는지 확인하세요.

Noam Yakov라는 흰 모자는 포상금 프로젝트의 정의에 대해 의문을 제기했습니다(보통 심각한 보안 취약성만 보상받을 수 있기 때문에 이런 일이 자주 발생합니다. 프로젝트는 취약성의 보안 수준을 어떻게 정의합니까? 흰 모자가 깊이 관심을 갖는 것, 그리고 커뮤니티에서는 그러한 분쟁에 대해 많이 듣습니다). Uniwhales 바운티 프로젝트에서 그는 MEV 영향을 심각한 보안 취약성으로 정의하는 것에 대해 의구심을 품었습니다. 결국 모든 사람들은 이러한 유형의 설명이 모든 MEV 상황에 적용되지 않는다는 점에 대해 논의했습니다. 예를 들어 일부 독성 주문 흐름의 경우 프로토콜 풀은 자산 유출 상황은 확실히 심각한 보안 사고입니다(따라서 일련의 보안 수준 프레임워크를 정의하는 것만으로는 충분하지 않은 경우가 많으며 일반적으로 다양한 실제 사례에 개입하려면 플랫폼에서 유사한 중재자의 역할이 필요합니다).

그리고 매우 흥미로운 주제인 Immunefi와 같은 포상금 플랫폼에 대한 귀하의 요구와 기대는 무엇입니까?에 대해 ckksec이라는 이름의 흰 모자가 그의 답변을 제공했습니다: 1) 익명의 암호화된 흰 모자가 노동 소득을 얻도록 돕는 송장 발행과 같은 법적 설명을 수행하십시오. 2) 플랫폼은 화이트햇에 대한 채점 시스템을 갖춰야 할 뿐만 아니라, 화이트햇이 프로젝트의 품질을 구별하는 데 시간을 소비해야 하는 경우가 많기 때문에 프로젝트의 품질에 대한 점수도 매겨야 합니다. 3) 자신의 프로필을 공개하려는 화이트 해커를 위해 플랫폼은 자신의 작업 흐름을 보여줄 수 있으며 동시에 프로젝트 당사자가 받은 보안 분석 보고서 정보를 보다 투명하게 표시하는 것이 플랫폼에 더 좋습니다.

흰 모자를 도울 수 있는 도구는 무엇입니까?

LLM GPT의 불씨를 계기로 최근 사람들이 보안 감사도 AI로 대체할 수 있는지 자주 논의하는 것을 들었습니다. 제가 대화한 경험 많은 보안 실무자들은 일반적으로 GPT가 인간 지능을 직접 대체하기 어렵다고 믿고 있습니다. 일부 낮은 열매(찾기 쉬운 문제)는 언어 모델로 감지할 수 있지만 중간 및 높은 위험이 있는 문제에는 여전히 전문가가 필요합니다. 참여. 예를 들어, 고위 보안 전문가의 피드백에 따르면 유사한 데이터 분석 및 동적 분석을 위해서는 이러한 보다 복잡한 테스트를 프로토콜의 실제 비즈니스 로직과 인위적으로 결합하여 보안 분석 테스트를 사전에 수행하고 예상 대상을 정의해야 합니다. 가장 어려운 부분은 좋은 속성을 작성하고 올바른 테스트 필드를 정의하는 것입니다. GPT에 대한 실험에 따르면, 그들은 GPT가 현 단계에서 인간을 완전히 대체할 수 없다고 믿습니다.

물론 현재 LLM이 보안 분석 도구의 분석 효율성을 크게 향상시키고 오탐률을 줄일 수 있다는 낙관적인 결과가 나와 있습니다 https://twitter.com/HatforceSec/status/1671758690808913922

https://www.researchgate.net/publication/371758506_Do_you_still_need_a_manual_smart_contract_audit。

또 다른 흥미로운 비기술적 관점에서 이 주제에 대해 생각해 봅시다. 이는 보안 공격자와 방어자 사이의 역동적인 게임입니다. 마법의 높이는 다른 쪽보다 1피트 더 높습니다. AI가 보안 공격자에게 상대적인 보안을 제공할 수 있을까요? 도움이 될까요?

안전은 사람 중심이다

사람들은 소프트웨어가 차갑고 기계적이고 논리적인 것이라고 습관적으로 생각하게 될 것이며, 시스템 보안을 향상하려면 분석 기술과 시스템 방어 수준을 향상시켜야 합니다. 그러나 사람들은 경제적 인센티브와 인간 본성의 관점에서 보안 문제에 대해 생각하지 않고 있으며 오픈 소스 코드의 어두운 숲에서는 합리적인 사람들의 가정에 더 부합하는 배포 시스템이 필요합니다. 블록체인에 오랫동안 투자할 의향이 있는 사람들을 더 많이 유치하고, 시스템 보안에 지혜를 기여하는 사람들이 합류합니다.

현재 전통적인 보안 감사 시장 구조는 안정적이며 브랜드 평판은 이 분야 기업의 가장 중요한 무형 자산입니다. 시간이 지남에 따라 최고의 보안 브랜드의 영향력과 고객의 신뢰가 꾸준히 높아졌지만 전통적인 보안 감사도 자체적인 문제(비즈니스 모델은 인력에만 의존하고 규모의 성장이 어렵고 선두 기업은 성장과 품질 감사의 균형을 유지해야 합니다. 일부 기업에서는 이러한 병목 현상에 직면하여 브랜드 가치에 영향을 미치기도 했습니다).

커뮤니티 중심의 보안 감사 경쟁은 혁신적인 비즈니스 모델입니다. 현재 두 플랫폼의 300개 이상의 고객이 점차적으로 PMF를 발견했으며 포상금 플랫폼은 보안 수명 주기에 대한 좋은 보완책입니다. 이러한 분산형 플랫폼은 여전히 우리는 특별히 효과적인 토큰 모델을 찾지 못했지만 우리는 향후 이 시장의 대규모 성장에 대해 매우 낙관하고 있습니다(군중의 지혜가 보안 시장의 공격 및 방어 게임 시나리오에 매우 적합하기 때문입니다).

커뮤니티 중심 감사 플랫폼이 중앙 감사 회사에 위협이 될까요? 우리는 그들이 건전한 상호 경쟁과 상호 보완적인 관계를 가질 것이라고 생각합니다.단기적으로 Code 4 rena와 같은 플랫폼이 일정한 네트워크 효과를 형성하고 좋은 실적을 가지고 있다면(감사를 받은 프로젝트의 해킹 비율이 낮음) 중간과 꼬리에 있는 일부 중앙 집중식 회사는 특정 경쟁 압력을 가져올 것이지만 장기적으로 이는 중앙 집중식 감사 플랫폼이 커뮤니티 중심 플랫폼과 상업적 협력을 형성하도록 강요할 수도 있습니다. 이는 고객 기반도 확대할 수 있기 때문입니다. 중앙 집중식 보안 감사 플랫폼 및 감사 품질 향상(대형 web2 회사가 독립적으로 운영하고 나중에 HackerOne과 같은 타사 플랫폼과 협력 로직을 형성한 원래 보안 바운티 프로젝트와 약간 비슷함).

커뮤니티 중심의 보안 플랫폼의 방향은 보다 DAO 지향적이지만(Forta는 실제로 이 범주에 포함될 수 있음) 현재 프로젝트의 실제 운영에는 여전히 워크플로를 어떻게 만들 것인지와 같은 문제가 있습니다. 보다 투명하고 개방적인 경제적 분배 프로세스, 프로젝트 측면의 개인 정보 보호 및 보안 고려 사항을 평가하는 방법, 팀워크와 개인 기여 간의 관계를 보다 명확하게 정의하는 방법, 이해 상충이 발생할 때 상대적으로 공정하고 전문적인 방식으로 문제를 해결하는 방법 , 등 올바른 도전.

Reference: