IOSG Ventures: Giải thích toàn diện về thị trường tiền thưởng và kiểm toán do cộng đồng định hướng

星球君的朋友们

Odaily资深作者

2023-07-11 10:17 (UTC+8)

Bài viết này có khoảng 5475 từ, đọc toàn bộ bài viết mất khoảng 8 phút

Tình báo bầy đàn trong bảo mật.

Tóm tắt AI

Tình báo bầy đàn trong bảo mật.

lời tựa

Là một hệ thống máy tính quy mô lớn, độ phức tạp của hệ thống blockchain hiện tại đã vượt xa mức 5 năm trước, mức độ mô đun hóa cơ sở hạ tầng ngày càng tinh tế hơn, logic hợp đồng thông minh của lớp ứng dụng ngày càng trở nên phong phú và sự tương tác giữa các hợp đồng rất thường xuyên, quan trọng hơn là số lượng tài sản do hệ thống blockchain quản lý vốn đã rất lớn nên gần đây đã có nhiều cuộc thảo luận về chu trình bảo mật trong cộng đồng bảo mật blockchain (tình hình giống như năm 2017). , khi mọi người nghĩ đến bảo mật, họ chỉ nghĩ đến các nhà phát triển. Việc viết hợp đồng và ném cho bạn bè của Ethereum Foundation xem xét và thực hiện một số thử nghiệm cơ bản là rất khác).

Trong suốt vòng đời bảo mật của chương trình blockchain (từ thử nghiệm, mời kiểm toán của bên thứ ba đến giám sát sau sự kiện và cập nhật kiểm tra), cộng đồng tiền thưởng lỗi giống như một tấm đệm an toàn để thu hút mũ trắng thông qua lý thuyết trò chơi và hoạt động theo cụm. của bên dự án sẽ được xem xét lần cuối và một số nhân viên bảo mật hợp đồng thông minh cảm thấy rằng tiền thưởng lỗi giống như người cuối cùng trong hàng phòng thủ, nhưng tôi nghĩ rằng các cuộc thi kiểm tra và tiền thưởng lỗi có tiềm năng đóng vai trò quan trọng vai trò lớn hơn trong tương lai, hoạt động như một hệ thống xuyên suốt toàn bộ. Vai trò của vòng đời bảo mật sẽ cải thiện tính bảo mật tổng thể của hệ thống.

Tất nhiên, cũng có các chương trình bug Bounty (Bug Bounty hay Vulnerabilty Rewards) trong lĩnh vực an ninh mạng truyền thống.Đầu tiên, các công ty công nghệ lớn như Facebook, Google, Microsoft... sẽ triển khai các chương trình Bounty cho đội ngũ an ninh nội bộ của họ và Các nền tảng của bên thứ ba có tiền thưởng lỗi do HackerOne và Bugcrowd đại diện đã xuất hiện từ khoảng năm 2015. Hiện tại, hai công ty bảo mật hàng đầu này dựa vào việc phân phối hoa hồng tiền thưởng làm thu nhập chính và thu nhập hàng năm của họ có thể đạt gần 50 triệu đô la Mỹ và 20 triệu đô la tương ứng. Trong thế giới blockchain, tiền thưởng là một chủ đề thú vị hơn thường được thảo luận trong giới bảo mật, nguyên nhân chính là do mã nguồn mở của blockchain thực sự khiến chi phí hack và nâng cấp các chiến lược tấn công rẻ hơn. ủng hộ việc phân cụm các nền kinh tế Công việc, Người sáng tạo và Quyền sở hữu mở ra các mô hình đóng góp khiến nền kinh tế mũ trắng cởi mở hơn thậm chí còn có giá trị hơn.

Tiền thưởng lỗi và cuộc thi kiểm tra là gì?Tại sao chúng ta cần chúng?

Bảo mật là một trò chơi năng động giữa kẻ tấn công và người phòng thủ, giống như chuyên gia bảo mật máy tính và nhà mật mã học Bruce Schneier đã nói: Bảo mật là một quá trình, không phải một sản phẩm. Đó là một cách suy nghĩ phải xuyên suốt quá trình phát triển phần mềm ở mọi khía cạnh. .” Trong thế giới blockchain, một khu rừng tối tăm nơi tất cả các mã đều là nguồn mở và minh bạch, một dự án blockchain muốn tồn tại lâu dài phải có nhu cầu vĩnh viễn về tính bảo mật cho sản phẩm/hợp đồng của mình. Các sản phẩm chuỗi đều có nhiều hơn hoặc ít thuộc tính tài chính hơn Tài sản quan trọng nhất trong tài chính là niềm tin và niềm tin của người dùng chỉ có một lần.

Kiểm toán truyền thống tồn tại những bất cập, vướng mắc ở đâu? Tiền thưởng lỗi do cộng đồng điều khiển và các cuộc thi kiểm tra có thể mang lại lợi ích gì để bù đắp cho những vấn đề này?

Các nhà phát triển sử dụng dịch vụ kiểm toán thường thấy rằng:

Ngay cả sau khi mua dịch vụ của một công ty kiểm toán bên thứ ba, vẫn có vấn đề về mã sau khi kiểm tra.Mặc dù lý do của những vấn đề này là khác nhau (kỹ thuật và phi kỹ thuật), nhưng cuối cùng nó cho thấy rằng việc dựa vào một công ty kiểm toán có thể giúp ích rất nhiều. dường như không hoàn toàn đáng tin cậy.Chất lượng kiểm toán mã vẫn phụ thuộc vào trình độ của người kiểm tra và khách hàng thường thiếu khả năng phân biệt “ai giỏi hơn”.
Nền tảng tiền thưởng và cuộc thi kiểm toán là những hộp cát cởi mở hơn. Mã dự án có thể được mũ trắng xem xét theo ý muốn và nền tảng không bị giới hạn (có thể có nhân sự của các công ty kiểm toán chuyên nghiệp và có thể có phân tích bảo mật tự do. tác giả), kho vũ khí không có giới hạn, tất cả những gì khách hàng phải làm là đặt ra một khoản tiền thưởng hợp lý và đóng góp khi người mũ trắng phát hiện ra vấn đề.
Thông thường trước tiên khách hàng sẽ gửi mã họ cần để mũ trắng xem xét, xác định mức độ bảo mật của lỗ hổng (thường liên quan đến tổn thất kinh tế có thể xảy ra, lỗ hổng càng dễ gây thiệt hại trực tiếp về kinh tế thì mức độ nghiêm trọng càng cao), ngân sách tiền thưởng, phạm vi mã được kiểm tra và thậm chí cả các bước kiểm tra.

Thị trường lớn đến mức nào?

Mô hình kinh doanh của nền tảng tiền thưởng và cuộc thi kiểm toán thường là rút một phần tiền thưởng do khách hàng trả hoặc tổng quỹ tiền thưởng được thiết lập làm phí dịch vụ của nền tảng. Khách hàng (các bên dự án) cần kiểm tra bảo mật mã sẽ công bố kế hoạch của họ trên nền tảng tiền thưởng theo nhu cầu riêng của họ (mã nào cần được kiểm tra, cách xác định mức độ nghiêm trọng của lỗ hổng và số tiền thưởng họ sẵn sàng trả), và mũ trắng Các lỗ hổng sẽ được tìm thấy theo nhu cầu của phía dự án. Sau khi mũ trắng tìm ra sơ hở và đáp ứng nhu cầu của phía dự án, tiền thưởng sẽ được phân phối cho mũ trắng và nền tảng tiền thưởng sẽ rút ra một khoản hoa hồng từ nó như một khoản phí dịch vụ.

Trong lĩnh vực bảo mật mạng truyền thống Web2, nền tảng bug Bounty cũng là một hướng đi khá non trẻ (xuất hiện sau năm 2012), và hiện tại các nền tảng bug Bounty lớn nhất là HackerOne và Bugcrowd. Vào năm 2022, doanh thu hàng năm của HackerOne sẽ đạt 58 triệu đô la Mỹ, định giá công ty sẽ đạt khoảng 500 triệu đô la Mỹ và số tiền thưởng tích lũy được trả trong lịch sử sẽ là 230 triệu đô la Mỹ (năm 2021, 2022 sẽ trả 150 triệu đô la Mỹ tiền thưởng) , và hơn 65.000 lỗ hổng phần mềm, có hơn 1 triệu hacker đăng ký và hơn 1.000 khách hàng sử dụng dịch vụ HackerOne mỗi tháng. Đối thủ của nó, Bugcrowd, dự kiến sẽ kiếm được hơn 20 triệu USD vào năm 2022.

Trong lĩnh vực bảo mật Web3, vào năm 2022, tất cả các nền tảng cạnh tranh kiểm tra và tiền thưởng lỗi web3 sẽ phát hành tổng tiền thưởng trị giá 50 triệu đô la Mỹ cho tin tặc mũ trắng và mức tính phí trung bình của các nền tảng đó là khoảng 10% đến 30%, vì vậy nó được ước tính một cách thận trọng. Quy mô thị trường hiện tại là khoảng 5 triệu USD ~ 15 triệu USD và đây vẫn là một thị trường rất mới nổi.

Một điều thú vị nữa là ngày càng có nhiều khách hàng sẵn sàng sử dụng trực tiếp các dịch vụ kiểm tra mã do cộng đồng bảo mật phi tập trung này cung cấp, ví dụ nổi tiếng nhất là Opensea đã không trực tiếp tìm đến dịch vụ kiểm toán cấp hai trước khi tung ra nền tảng mới Seaport của họ. , công ty kiểm toán bên thứ ba đã chọn Code 4 Rena, nền tảng cạnh tranh kiểm toán phi tập trung lớn nhất hiện nay và thiết lập tổng giải thưởng lên tới 1 triệu đô la Mỹ. Ngày nay, thị trường kiểm toán bảo mật truyền thống ngày càng tham gia nhiều hơn (số lượng nhân lực, số lượng kỹ thuật công cụ, khối lượng thị trường BD), liệu các dịch vụ bảo mật phi tập trung có phải là sự tăng trưởng quan trọng trong thị trường này không? (Hiện có 56 công ty kiểm toán trên thị trường và doanh thu của các công ty hàng đầu trong năm qua là từ 10 triệu đến 40 triệu USD. Tôi nghĩ có rất nhiều chỗ cho trí tưởng tượng trong thị trường chứng khoán phi tập trung).

Nền tảng tiền thưởng lỗi so với nền tảng cuộc thi kiểm toán

Mặc dù nền tảng tiền thưởng lỗi đã có lịch sử phát triển mười năm trên web2, nhưng nền tảng cạnh tranh kiểm toán là một điều mới mẻ trong web3 gốc. Đối tượng của dịch vụ cạnh tranh kiểm toán là các bên dự án sắp ra mắt sản phẩm hoặc một số chức năng mới và sử dụng sức mạnh của cộng đồng phi tập trung để giúp họ hoàn thành dịch vụ kiểm toán trong một thời gian cụ thể (hơn 2 tuần). Ở góc độ cạnh tranh kiểm toán, nó sẽ không mang lại mối đe dọa kinh doanh nhỏ nào cho các công ty kiểm toán truyền thống.

cách tham gia

Các nền tảng trao thưởng lỗi như Immunefi thường là các dự án mở mà bất kỳ ai cũng có thể tham gia bất kỳ lúc nào. Những người tham gia thường độc lập khám phá và báo cáo các lỗ hổng để đổi lấy phần thưởng. Nếu hai người tìm thấy cùng một lỗ hổng lặp đi lặp lại thì nguyên tắc ai đến trước được phục vụ trước sẽ được thực hiện và ai gửi báo cáo trước sẽ nhận được phần thưởng trước.

Các nền tảng cạnh tranh kiểm toán dựa vào cộng đồng (ví dụ Code 4 rena, Sherlock) thường bị giới hạn thời gian và cạnh tranh với những người tham gia để tìm và báo cáo các lỗ hổng trong một khung thời gian nhất định. So với nền tảng tiền thưởng, sẽ có một số tinh thần đồng đội (ví dụ: mỗi dự án sẽ có sự phân công rõ ràng về Trưởng kiểm toán viên cấp cao và Giám khảo trưởng, cuối cùng xem xét và tóm tắt tất cả các kết quả kiểm toán thành báo cáo kiểm toán cho khách hàng và hai lãnh đạo này cũng tuân theo Nguyên tắc phân cấp bầu cử và thi đấu của cộng đồng). Ngoài ra, nếu hai đối thủ cạnh tranh kiểm toán tìm thấy những sơ hở lặp đi lặp lại trong thời gian quy định thì cả hai đều có thể nhận được phần thưởng.

cơ cấu phần thưởng

Phần thưởng thực tế do cả hai đưa ra sẽ chủ yếu xem xét mức độ nghiêm trọng của lỗ hổng được phát hiện.

Điểm khác biệt duy nhất là nền tảng cạnh tranh kiểm toán dựa vào cộng đồng như Code 4 Rena sẽ có một phần cố định (5% ~ 10%) tổng giải thưởng cho mỗi dự án được phân bổ cho Trưởng kiểm toán viên cao cấp và Giám khảo chính, vì họ thực sự đảm nhận kiểm toán truyền thống. các dự án của công ty Vai trò của người phụ trách.

Một điểm thú vị khác là nhóm dự án trên nền tảng tiền thưởng lỗi đôi khi đặt mã thông báo dự án làm phần thưởng, nhưng tôi cũng thấy rằng một số hacker mũ trắng trong cộng đồng thích nhận các đồng tiền ổn định như USDC và USDT thay vì biến động giá của mã thông báo dự án.

phạm vi và trọng tâm

Các dự án nền tảng tiền thưởng lỗi thường có phạm vi rộng, trong khi các dự án về cuộc thi kiểm toán thường có phạm vi tập trung hơn, nhắm vào một chức năng hoặc khía cạnh cụ thể của phần mềm, đồng thời yêu cầu mũ trắng tập trung hoàn thành công việc trong khoảng thời gian ngắn hơn.

Các dự án tập trung vào cuộc thi kiểm toán

Code 4 Rena - Nền tảng cạnh tranh kiểm toán hướng tới cộng đồng giống như thể thao điện tử

Code 4 Rena có ba loại ký tự:

1. Kiểm toán viên (Người giám hộ) xem xét quy tắc. Bất kỳ ai từ kỹ sư bảo mật chuyên nghiệp đến nhà phát triển mới vào nghề đang cố gắng tích lũy thêm kinh nghiệm đều có thể đăng ký làm kiểm toán viên để tham gia cuộc thi kiểm toán công khai.

2. Thẩm phán thường là những kỹ sư giỏi nhất trong cộng đồng C 4. Họ xác định mức độ nghiêm trọng, hiệu quả và chất lượng của các lỗ hổng và đánh giá hiệu suất kiểm toán.

3. Các nhà tài trợ là các bên tham gia dự án, chẳng hạn như Opensea, Blur, ENS, Chainlink, v.v. Họ tạo ra các nhóm tiền thưởng để thu hút kiểm toán viên kiểm tra mã dự án của họ. Các nhà tài trợ cũng có tùy chọn tổ chức các cuộc thi riêng tư, chỉ dành cho người được mời để tăng thêm sự riêng tư.

Một trong những điểm thú vị nhất là văn hóa mà Code 4 Rena đang xây dựng: khuyến khích sự cộng tác và làm việc theo nhóm. Không giống như các chương trình thưởng lỗi truyền thống, Code 4 Rena trả tiền cho tất cả kiểm toán viên báo cáo lỗ hổng hợp lệ ngay cả khi lỗ hổng đã được báo cáo. Điều này khuyến khích sự cạnh tranh lành mạnh giữa các kiểm toán viên vì họ có động lực tìm ra các lỗ hổng phổ biến và có mức độ nghiêm trọng cao. Trên nền tảng này, một số kiểm toán viên sẽ thành lập các nhóm tạm thời để cùng nhau tìm ra sơ hở.

mô hình kinh doanh:

Bất kỳ dự án nào cũng có thể truy cập Code 4 rena để bắt đầu chương trình cạnh tranh kiểm toán và cung cấp USDC hoặc ETH để thiết lập nhóm giải thưởng cơ bản (thường quy mô của nhóm giải thưởng là 40.000 USD ~ 100.000 USD), rena Mã 4 sẽ tính phí 20% so với quỹ cơ bản. quỹ giải thưởng làm nền tảng Thu nhập từ dịch vụ để tổ chức các cuộc thi, đưa ra đánh giá và phân loại các báo cáo đầu ra kiểm toán. Bên dự án cũng có thể cung cấp mã thông báo dự án ngoài nhóm giải thưởng cơ bản để thiết lập nhóm giải thưởng bổ sung và rena Mã 4 sẽ tính 40% của nhóm giải thưởng bổ sung này.

Sherlock - Kiểm toán theo định hướng cộng đồng với bảo hiểm hợp đồng thông minh

Tương tự như Code 4 rena, Sherlock cũng có các vai trò như kiểm toán viên, nhà tài trợ và thẩm phán. Điểm độc đáo của Sherlock nằm ở các dịch vụ bảo hiểm do nền tảng cung cấp. Bất kỳ ai cũng có thể đầu tư vào nhóm bảo hiểm trên nền tảng Sherlock. Các nhà đầu tư gửi USDC vào nhóm bảo hiểm và khách hàng thỏa thuận có thể mua dịch vụ để phòng ngừa rủi ro hợp đồng thông minh bị hack. Các nguồn thu nhập dành cho các nhà đầu tư bảo hiểm bao gồm: phí bảo hiểm do khách hàng thỏa thuận thanh toán + tiền lãi kiếm được bằng cách gửi quỹ nhóm bảo hiểm vào các nhóm DeFi khác (Aave, Hợp chất, v.v.) + Ưu đãi mã thông báo Sherlock. Nhưng nhà đầu tư phải chịu rủi ro trong việc hoàn trả hợp đồng trong khi vẫn thu được lợi ích.

Một điểm khác với Code 4 rena là cơ chế phân phối thu nhập dịch vụ kiểm toán do nền tảng cung cấp. So với Code 4 rena, Sherlock có các quy định cho phép trưởng kiểm toán an ninh cấp cao và chánh án nhận một số tiền cố định (5% ~ 10%) từ quỹ thưởng để đền bù và động viên thỏa đáng cho kiểm toán viên cấp cao toàn thời gian. Ngoài ra, còn có các hệ thống tuyển chọn và cạnh tranh để lựa chọn vai trò lãnh đạo.

Làm thế nào để xây dựng một cộng đồng hacker? Mối quan tâm lớn nhất của mũ trắng Web3 là gì?

Sau khi chúng tôi quan sát các cộng đồng bảo mật phi tập trung khác nhau (ImmuneFi, Hats Finance, Code 4 Rena, Sherlock, v.v.) và trò chuyện với một số doanh nhân bảo mật, chúng tôi nghĩ rằng điều mà tất cả các nền tảng phi tập trung cam kết thực hiện là: xây dựng một nền tảng lành mạnh và hiệu quả hơn nền tảng giao tiếp và cộng tác. Nền tảng tiền thưởng giống như một thị trường giữa Tin tặc và các dự án. Họ không chỉ nên xem xét nhu cầu của mình từ góc độ của tin tặc (như được hiển thị trong bảng bên dưới) mà còn phải xem xét những điều cần quan tâm nhất (chất lượng kiểm toán).

Source: 《Bug Hunters’ Perspectives on the Challenges and Benefits of the Bug Bounty Ecosystem》

Ngoài một số nhu cầu chung, tôi còn thấy một số chủ đề thú vị trong cộng đồng mũ trắng Immunefi (cộng đồng bất hòa mũ trắng sôi động nhất mà tôi thấy).

Ví dụ:

Một chiếc mũ trắng tên là Rappie muốn tiết lộ một số lỗ hổng của dự án mà anh ấy/cô ấy đã phát hiện ra trước đó và hỏi những quy tắc cộng đồng nào cần phải tuân theo. (1. Chỉ tiết lộ các lỗi đã được sửa. 2. Đảm bảo rằng mọi thông tin công khai không có tác động tiêu cực đến giao thức hoặc người dùng của nó. Giữ thông tin bí mật, ví dụ: sau khi họ sửa lỗ hổng SQL SQL của bạn, đừng tiết lộ thông tin về họ 3. Đảm bảo rằng bạn cần gửi tin nhắn riêng cho nhóm dự án trước khi công khai).

Một người mũ trắng tên là Noam Ykov nghi ngờ về định nghĩa của một dự án tiền thưởng (điều này thường xảy ra, bởi vì thông thường chỉ những lỗ hổng bảo mật nghiêm trọng mới có thể được khen thưởng. Dự án xác định mức độ bảo mật của lỗ hổng như thế nào? Điều mà những người mũ trắng quan tâm sâu sắc và cộng đồng đã nghe rất nhiều về những tranh chấp như vậy). Trong dự án tiền thưởng Uniwhales, anh ấy nghi ngờ về định nghĩa của họ về tác động của MEV là một lỗ hổng bảo mật nghiêm trọng. Cuối cùng, mọi người đã thảo luận rằng kiểu mô tả này không áp dụng cho tất cả các tình huống MEV. Ví dụ, đối với một số luồng đơn hàng độc hại, nhóm giao thức có thể Tình trạng rút cạn tài sản chắc chắn là một sự cố bảo mật nghiêm trọng (vì vậy thường không đủ để xác định một bộ khung cấp độ bảo mật và thường cần có vai trò trọng tài tương tự trong nền tảng để can thiệp vào các trường hợp thực tế khác nhau).

Và đối với một chủ đề rất thú vị Yêu cầu và mong đợi của bạn đối với một nền tảng tiền thưởng như Immunefi là gì? Một người mũ trắng có tên ckksec đã đưa ra câu trả lời của mình: 1) Giúp họ kiếm thu nhập từ những chiếc mũ trắng được mã hóa ẩn danh Thực hiện một số giải thích pháp lý như lập hóa đơn. 2) Nền tảng không chỉ cần có hệ thống chấm điểm cho mũ trắng mà còn chấm điểm chất lượng của dự án vì mũ trắng thường cần dành thời gian để phân biệt chất lượng của dự án. 3) Đối với những người mũ trắng sẵn sàng mở hồ sơ của họ, nền tảng có thể hiển thị quy trình làm việc của họ, đồng thời, nền tảng sẽ hiển thị minh bạch hơn thông tin báo cáo phân tích bảo mật mà bên dự án nhận được.

Những công cụ nào có thể giúp mũ trắng?

Với sự bùng nổ của LLM GPT, gần đây tôi đã nghe mọi người thường xuyên thảo luận về việc liệu kiểm tra bảo mật có thể được thay thế bằng AI hay không. Những người thực hành bảo mật có kinh nghiệm mà tôi đã nói chuyện thường tin rằng GPT khó có thể thay thế trực tiếp trí thông minh của con người. Một số vấn đề dễ phát hiện (các vấn đề dễ tìm) có thể được phát hiện bằng các mô hình ngôn ngữ, nhưng những vấn đề có rủi ro trung bình và cao vẫn cần đến chuyên gia sự tham gia. Ví dụ: theo phản hồi của một chuyên gia bảo mật cấp cao, để phân tích dữ liệu và phân tích động tương tự, các thử nghiệm phức tạp hơn này cần được kết hợp một cách giả tạo với logic kinh doanh thực tế của giao thức để tiến hành kiểm tra phân tích bảo mật trước và xác định mục tiêu dự kiến các thuộc tính của bài kiểm tra trước. Phần khó nhất là viết một thuộc tính tốt và xác định trường kiểm tra chính xác. Theo thử nghiệm của họ trên GPT, họ tin rằng GPT không thể thay thế hoàn toàn con người ở giai đoạn này.

Tất nhiên, hiện tại có những kết quả lạc quan cho thấy LLM có thể cải thiện đáng kể hiệu quả phân tích của các công cụ phân tích bảo mật và giảm tỷ lệ dương tính giả https://twitter.com/HatforceSec/status/1671758690808913922

https://www.researchgate.net/publication/371758506_Do_you_still_need_a_manual_smart_contract_audit。

Chúng ta hãy suy nghĩ về chủ đề này từ một góc độ phi kỹ thuật thú vị khác. Đây là một trò chơi năng động giữa những kẻ tấn công an ninh và những người bảo vệ. Chiều cao kỳ diệu cao hơn một foot so với bên kia. Liệu AI có mang lại sự an toàn tương đối cho những kẻ tấn công an ninh? Giúp đỡ?

An toàn là hướng tới con người

Mọi người sẽ có thói quen nghĩ rằng phần mềm là một thứ lạnh lùng, máy móc và logic, và việc cải thiện bảo mật hệ thống chỉ cần cải thiện công nghệ phân tích và mức độ bảo vệ hệ thống. Tuy nhiên, mọi người thiếu suy nghĩ về vấn đề bảo mật từ góc độ khuyến khích kinh tế và bản chất con người. Trong khu rừng tối của mã nguồn mở, chúng ta cần một hệ thống phân phối phù hợp hơn với giả định của những người có lý trí. thu hút thêm nhiều người sẵn sàng đầu tư lâu dài vào blockchain. Những người đóng góp trí tuệ cho bảo mật hệ thống tham gia.

Cấu trúc thị trường kiểm toán bảo mật truyền thống hiện nay ổn định và uy tín thương hiệu là tài sản vô hình quan trọng nhất của các công ty trong lĩnh vực này.Theo thời gian, tầm ảnh hưởng của các thương hiệu bảo mật hàng đầu và sự tin tưởng của khách hàng ngày càng tăng lên, nhưng kiểm toán bảo mật truyền thống cũng có những ưu điểm riêng những vấn đề riêng (mô hình kinh doanh chỉ dựa vào nhân lực và khó phát triển về quy mô, các công ty hàng đầu cần cân bằng giữa tăng trưởng và chất lượng kiểm toán. Một số công ty đã gặp phải điểm nghẽn như vậy, thậm chí ảnh hưởng đến giá trị thương hiệu).

Cuộc thi kiểm tra bảo mật dựa vào cộng đồng là một mô hình kinh doanh sáng tạo. Hiện tại, hơn 300 khách hàng của hai nền tảng đã dần dần tìm thấy PMF và nền tảng tiền thưởng là một sự bổ sung tốt cho vòng đời bảo mật. Mặc dù các nền tảng phi tập trung này vẫn là Chúng tôi chưa tìm ra mô hình token đặc biệt hiệu quả, nhưng chúng tôi rất lạc quan về sự tăng trưởng quy mô lớn của thị trường này trong tương lai (vì trí tuệ của đám đông rất phù hợp với các kịch bản trò chơi tấn công và phòng thủ trên thị trường chứng khoán).

Liệu các nền tảng kiểm toán dựa vào cộng đồng có gây ra mối đe dọa cho các công ty kiểm toán tập trung không? Chúng tôi nghĩ rằng họ sẽ có sự cạnh tranh lành mạnh lẫn nhau và mối quan hệ bổ sung. Trong ngắn hạn, khi một nền tảng như Code 4 rena hình thành hiệu ứng mạng nhất định và có thành tích tốt (tỷ lệ các dự án được kiểm toán bị hack thấp), điều đó có thể thực sự mang lại cho Một số công ty tập trung ở giữa và đuôi sẽ mang lại những áp lực cạnh tranh nhất định, nhưng về lâu dài, điều này cũng có thể buộc nền tảng kiểm toán tập trung phải hình thành một số hợp tác thương mại với nền tảng hướng đến cộng đồng, bởi vì điều này cũng có thể mở rộng cơ sở khách hàng của nền tảng kiểm tra bảo mật tập trung và Cải thiện chất lượng kiểm tra (hơi giống dự án tiền thưởng bảo mật ban đầu được vận hành độc lập bởi một công ty web2 lớn và sau đó hình thành logic hợp tác với các nền tảng của bên thứ ba như HackerOne).

Mặc dù định hướng của nền tảng bảo mật hướng đến cộng đồng là thiên về DAO hơn (Forta thực sự có thể được đưa vào danh mục này), nhưng trong quá trình vận hành thực tế của dự án hiện tại, vẫn còn tồn tại những vấn đề như: làm thế nào để tạo quy trình làm việc và quá trình phân bổ kinh tế minh bạch và cởi mở hơn, Cách cân nhắc các cân nhắc về quyền riêng tư và bảo mật của phía dự án, cách xác định rõ ràng hơn mối quan hệ giữa làm việc nhóm và đóng góp cá nhân, cách giải quyết vấn đề một cách tương đối công bằng và chuyên nghiệp khi nảy sinh xung đột lợi ích , v.v. Đúng thử thách.

Reference: