В час ночи я обновлял <Square>, и увидел в сообществе Newton скриншот: подали эксплойт-уязвимость с обходом песочницы, и награда уже начислена — 12 000 долларов. В комментариях сплошные «большие парни, тащите» — а я, не отрываясь от экрана, вдруг подумал не о технической стороне, а о друге.
В прошлом году он нашёл у одного DeFi-протокола уязвимость на уровне проверки прав — по серьёзности это было далеко не мелочью. Он отправил подробный отчёт через официальные каналы, команда прочитала, но так и не ответила. Подождал неделю — и снова написал по почте. В ответ ему сказали: «Внутри уже зафиксировано». Прошло ещё две недели — протокол тихо выкатил патч-обновление: в релизе его имя не упоминали, награду не дали и даже не написали обычное «спасибо». После этого он больше никогда не возвращался к этому протоколу.
Поэтому, когда я увидел скриншот от того белого хакера из Newton, моя первая реакция была не на сумму награды, а на таймлайн, который он упомянул: от подачи до подтверждения — всего четыре часа. Четыре часа — это что? Я сам делал аудит контрактов и знаю, что на отчёты об уязвимостях у большинства команд реакция обычно такая: первая — тишина, вторая — отрицание, третья — скрытная починка. Подтвердить уязвимость уровня «escape из песочницы» в течение четырёх часов — в бета-стадии проектов такое встречается нечасто.
Есть ещё кое-что, что меня особенно задело: после исправления команда опубликовала и технические детали, и отчёт по итогам в форуме по управлению. Это не пара фраз в духе «спасибо белому хакеру», а полный таймлайн, технические первопричины, план исправления и дальнейшие меры по усилению защиты.
Так я снова понял, какую «цену» слову «безопасность» придаёт команда Newton. В других проектах безопасность — это PR-жонглирование фразами. Здесь безопасность — это инженерный процесс, который нужно фиксировать публично и можно перепроверить сторонним экспертам. И критерии награды тоже не «по настроению»: они классифицируются по серьёзности уязвимости, а размер награды за критический баг напрямую привязан к проценту от общего объёма заблокированных средств.
Я выключил телефон, чтобы лечь спать, и отправил сообщение тому другу, которого в прошлом году подвели: «В следующий раз находи уязвимости — передавай их в Newton». Он ответил: «Вижу — они реально платят». А я сказал: «Дело не только в деньгах. Важно отношение. Обещать голословно может каждый. А вот награда, закреплённая на бумаге, и публично проверяемая запись об исправлении — это, пожалуй, самое редкое в криптокруге».
#newt $NEWT @NewtonProtocol
В прошлом году он нашёл у одного DeFi-протокола уязвимость на уровне проверки прав — по серьёзности это было далеко не мелочью. Он отправил подробный отчёт через официальные каналы, команда прочитала, но так и не ответила. Подождал неделю — и снова написал по почте. В ответ ему сказали: «Внутри уже зафиксировано». Прошло ещё две недели — протокол тихо выкатил патч-обновление: в релизе его имя не упоминали, награду не дали и даже не написали обычное «спасибо». После этого он больше никогда не возвращался к этому протоколу.
Поэтому, когда я увидел скриншот от того белого хакера из Newton, моя первая реакция была не на сумму награды, а на таймлайн, который он упомянул: от подачи до подтверждения — всего четыре часа. Четыре часа — это что? Я сам делал аудит контрактов и знаю, что на отчёты об уязвимостях у большинства команд реакция обычно такая: первая — тишина, вторая — отрицание, третья — скрытная починка. Подтвердить уязвимость уровня «escape из песочницы» в течение четырёх часов — в бета-стадии проектов такое встречается нечасто.
Есть ещё кое-что, что меня особенно задело: после исправления команда опубликовала и технические детали, и отчёт по итогам в форуме по управлению. Это не пара фраз в духе «спасибо белому хакеру», а полный таймлайн, технические первопричины, план исправления и дальнейшие меры по усилению защиты.
Так я снова понял, какую «цену» слову «безопасность» придаёт команда Newton. В других проектах безопасность — это PR-жонглирование фразами. Здесь безопасность — это инженерный процесс, который нужно фиксировать публично и можно перепроверить сторонним экспертам. И критерии награды тоже не «по настроению»: они классифицируются по серьёзности уязвимости, а размер награды за критический баг напрямую привязан к проценту от общего объёма заблокированных средств.
Я выключил телефон, чтобы лечь спать, и отправил сообщение тому другу, которого в прошлом году подвели: «В следующий раз находи уязвимости — передавай их в Newton». Он ответил: «Вижу — они реально платят». А я сказал: «Дело не только в деньгах. Важно отношение. Обещать голословно может каждый. А вот награда, закреплённая на бумаге, и публично проверяемая запись об исправлении — это, пожалуй, самое редкое в криптокруге».
#newt $NEWT @NewtonProtocol