午前1時にSquareを見ていたら、Newtonコミュニティで誰かがスクリーンショットを上げているのを見ました――サンドボックス脱出の脆弱性を提出したところ、報奨金が12,000米ドル入金されたそうです。コメント欄には一面「大佬、お願いします」の文字。でも私は画面の前で手を止めてしまい、思い出したのは技術の話ではなく、ある友人のことでした。

去年彼は、あるDeFiプロトコルに脆弱性を見つけました。権限検証のレイヤーに関するもので、深刻度も低くはありません。彼は公式の窓口から詳細なレポートを提出しましたが、チームは既読のまま返信しませんでした。1週間待ってから再度メールで問い合わせると、相手は「内部では記録済みです」と言いました。さらに2週間後、プロトコルはこっそりパッチのアップデートを出したのです。彼の名前は伏せられていて、報奨金もなく、せめて「ありがとうございます」の一言すらありませんでした。

それ以来、彼はそのプロトコルには二度と手を出していません。

だからNewtonで白帽（ホワイトハット）が晒していたスクリーンショットを見たとき、最初に頭に浮かんだのは報奨金額ではなく、彼が触れていたタイムラインでした――提出から確認まで4時間。4時間って何でしょう？私は自分でもコントラクト監査をしたことがあるので、大半のプロジェクトが脆弱性レポートに対して最初に取る反応が「黙り込む」ことであることを知っています。次は「否認」。そして3つ目は「こっそり直す」。ベータ段階のプロジェクトで、サンドボックス脱出級の脆弱性を4時間以内に確認できるというのは珍しくありません。

もう一つ、もっと気になったことがあります――脆弱性の修正後、チームは技術的な詳細と振り返りレポートをガバナンスフォーラムで公開したのです。「白帽の貢献に感謝します」といった数行のPR文ではなく、完全なタイムライン、技術的な根本原因、修復案、さらにその後の強化策まで揃っていました。

これで私は、「セキュリティ」という言葉がNewtonチームの文脈の中でどれほど重いものなのかを改めて理解しました。他のプロジェクトはセキュリティを広報の言い回しとして扱いますが、彼らはセキュリティを、公開され、第三者が検証できる「エンジニアリングのプロセス」として扱っているのです。報奨基準も思いつきではありません。脆弱性の重大度でランク付けし、クリティカルな脆弱性の報奨金は総ロック額に対する割合と直接連動していました。

私はスマホを閉じて寝ようとし、その“去年こっぴどくやられた”友人にメッセージを送りました。「次に脆弱性を見つけたらNewtonに報告してね」。彼は「わかったよ。このチーム、ちゃんとお金を出すんだね」と返してきました。私は言いました。「お金の話だけじゃない。姿勢の問題なんだ。口約束は誰でもできる。白い紙に黒で書かれた報奨基準と、公開して確認できる修復の記録――それこそが、この仮想通貨界で最も希少なものだよ」と。
#newt $NEWT @NewtonProtocol