Jay Freeman stava semplicemente curiosando un po’ quando si è imbattuto nella vincita più grande della sua vita.
Freeman è un ricercatore nel campo della sicurezza noto per aver sviluppato software destinato ai sistemi operativi dei telefoni cellulari sottoposti a “jailbreak” (modificati per consentire agli utenti di personalizzare il proprio sistema operativo). Un giorno, gli capitò di esaminare il funzionamento degli smart contract “” utilizzati per gestire le transazioni su Optimism, una blockchain di Ethereum impiegata dalla società di software open source di cui è cofondatore, Orchid Labs. Con grande sorpresa di Freeman, egli si è imbattuto in quello che sembrava essere un grave bug del software all’interno di una macchina virtuale, che avrebbe potuto consentire a un hacker di generare — e sottrarre — milioni o addirittura miliardi di dollari in valuta digitale.
Dopo aver realizzato un “proof of concept” per verificare il proprio lavoro e illustrare in dettaglio i potenziali danni per un’azienda, si convinse di essere sulla strada giusta. Inizialmente pensò che sarebbe stato un ottimo argomento per un discorso che avrebbe dovuto tenere in occasione di una conferenza sulla sicurezza. Successivamente ha appreso che Optimism aveva recentemente offerto un’enorme ricompensa a chiunque avesse individuato vulnerabilità gravi nel proprio codice. Freeman ha presentato le sue conclusioni. Optimism ha verificato l’esistenza della vulnerabilità e, poco tempo dopo, Freeman ha ricevuto 2 milioni di dollari.
«Non era quello che cercavo», afferma. «È stato come camminare per strada, inciampare in una buca, pensare che quella buca non avrebbe dovuto esserci, chiedermi a chi avrei dovuto segnalarla e poi scoprire che c’è una ricompensa multimilionaria per chiunque fornisca informazioni su quella buca. E allora mi viene da dire: «Woo-hoo!»”
I programmi di ricompensa per la segnalazione di bug si moltiplicano su Web 3,0
I programmi di ricompensa per la segnalazione di bug esistono ormai da parecchio tempo nel mondo Web 2,0 . Tuttavia, la maggior parte dei pagamenti individuali era limitata a cifre a cinque o sei zeri. Attualmente, con (al momento della pubblicazione) un valore stimato di 920,6 miliardi di dollari di criptovalute che circolano nel mondo Web 3,0 alimentato dalla blockchain, i fornitori stanno pagando di più.
Molto di più. Infatti, secondo All the Research (ATR), una società di ricerche di mercato, il mercato complessivo dei programmi di bug bounty — valutato a 223,1 milioni di dollari nel 2020—is — dovrebbe crescere del 54% all’anno e raggiungere 5,5 miliardi di dollari entro il 2027.
Il ricercatore nel campo della sicurezza e hacker “white hat” Gerhard Wagner ha vinto un premio di 2 milioni di dollari nell’ambito del programma “ ”, che, secondo quanto riferito, rappresenta uno dei premi più consistenti erogati lo scorso anno. Dopo aver constatato che il valore dei pagamenti legati alle criptovalute stava “esplodendo”, si è dedicato alla caccia alle taglie e lo scorso ottobre ha individuato una vulnerabilità critica nel Plasma Bridge di Polygon. Il bug presente nel bridge cross-chain — il collegamento utilizzato per facilitare le transazioni tra blockchain — avrebbe potuto consentire a un malintenzionato di prelevare fino a 224 milioni di dollari in criptovaluta. Se l’operazione fosse stata ripetuta più volte, sarebbe stato possibile sottrarre l’intero patrimonio di Polygon, stimato in 850 milioni di dollari.
«Sono rimasto sorpreso», ammette. «Ho effettuato una verifica di fattibilità per verificare se l’attacco che stavo testando funzionasse davvero e, anche quando ha funzionato, continuavo a dire: “Non può essere vero”.» Tuttavia, ho segnalato comunque il bug a Polygon per vedere cosa sarebbe successo. “Hanno risposto, hanno confermato il problema e da quel momento in poi le cose si sono evolute rapidamente.”
[Legga anche: Perché i ponti tra le blockchain sono sotto attacco]
Oggigiorno le aziende che operano nel settore della blockchain sono disposte a offrire ricompense più elevate rispetto a quanto facessero in passato le aziende di software, poiché in caso di attacco hanno molto più da perdere. Potrebbero perdere non solo il proprio denaro, ma anche la criptovaluta che i clienti hanno depositato nei portafogli digitali. Infatti, nella prima parte del 2022 si sono registrati perdite per quasi 2 miliardi di dollari a causa di attacchi informatici ai danni delle criptovalute. Tra i principali attacchi informatici risalenti alla fine del 2021 figurano: Poly Network (611 milioni di dollari), Ronin Network (625 milioni di dollari), Wormhole (325 milioni di dollari), Nomad (200 milioni di dollari) e Harmony (100 milioni di dollari).
Spiegazione delle taglie
Le aziende del settore Web 3,0 , preoccupate da queste nuove tipologie di minacce, offrono comunemente ricompense in vari modi. Le loro tecniche potrebbero rivelarsi utili per i responsabili della sicurezza delle aziende che si stanno cimentando nel “Far West” delle tecnologie emergenti.
«Continuavo a dire: “Non può essere vero.”» Tuttavia, ho segnalato comunque il bug a Polygon per vedere cosa sarebbe successo… e da quel momento in poi le cose si sono evolute rapidamente.”Gerhard Wagner, ricercatore nel campo della sicurezza e hacker “white hat”
In primo luogo, dopo aver constatato di non disporre delle risorse necessarie per svolgere il lavoro in proprio, le aziende decidono di rivolgersi ai cosiddetti hacker “white hat”, che operano dalla loro parte, affinché individuino eventuali falle nel loro codice. Stimano l’ammontare della perdita che potrebbero subire e, come regola generale, spesso stabiliscono valori di ricompensa pari a circa il 10% della perdita potenziale.
La maggior parte delle aziende pubblicherà quindi un'offerta su piattaforme di bug bounty, quali Immunefi, HackerOne e Intigriti. Se i ricercatori ritengono di aver individuato qualcosa, presentano una prova di fattibilità direttamente a un’azienda o a una piattaforma di ricompense. Il loro lavoro viene valutato e, se ritenuto valido, vengono ricompensati.
In teoria, il sistema funziona bene. Ma non tutti i cappelli bianchi sono in vendita. Freeman afferma che alcuni ricercatori mal sopportano un modello di crowdsourcing in cui sono costretti a dedicare giorni o settimane alla revisione del codice senza ricevere alcun compenso. Altri temono che le aziende possano addurre scuse dubbie per negare i premi, anche se questi sono stati chiaramente guadagnati.
Tali preoccupazioni sembrano tuttavia attenuarsi, poiché i pagamenti continuano ad aumentare. Secondo quanto riferiscono gli esperti, circa 2.000 cacciatori di bug lavorano a tempo pieno. Tuttavia, Intigriti riferisce che 50.000 ricercatori si sono registrati ai propri servizi tra aprile 2021 e aprile 2022, con un aumento del 43%; inoltre, un recente sondaggio condotto da Intigriti ha rilevato che il 66% degli hacker etici intervistati sta valutando la possibilità di intraprendere una carriera a tempo pieno nella ricerca di vulnerabilità.
Si sta affermando un settore artigianale?
Anche le piattaforme di bug bounty stesse stanno traendo vantaggio da questa tendenza. Recentemente gli investitori hanno stanziato 24 milioni di dollari a favore di Immunefi, 22 milioni di dollari a favore di Intigriti e 49 milioni di dollari a favore di HackerOne.
Dane Sherrets, architetto di soluzioni presso HackerOne, prevede che lo slancio dei programmi di bug bounty e i relativi compensi continueranno a crescere nel prossimo futuro, poiché le aziende del settore blockchain non riescono ad assumere professionisti della sicurezza qualificati con la rapidità necessaria e le applicazioni basate su blockchain che interagiscono con le piattaforme di criptovalute continuano a rappresentare obiettivi allettanti per i black hat (criminali).
«Non credo che accadrà dall’oggi al domani, ma vedo sicuramente un numero crescente di persone che si impegnano in questa causa», afferma. «La natura open source di questi progetti richiede che vi sia un modo per ricevere segnalazioni di vulnerabilità da parte della comunità Community.»
Tale coinvolgimento potrebbe riguardare un segmento inaspettato dell’ Community della ricerca sulla sicurezza: i black hat che intravedono l’opportunità di guadagnare di più passando dalla parte della legalità o, quantomeno, entrando nella “zona grigia”.
In alcuni recenti attacchi legati alla blockchain, gli hacker hanno restituito alle società operanti nel settore della blockchain la maggior parte di quanto avevano sottratto. Gli osservatori ipotizzano che, in alcuni casi, essi abbiano trattenuto una parte del proprio bottino — con l’apparente approvazione delle aziende loro vittime — in quella che potrebbe essere considerata una sorta di ricompensa al contrario. Wagner afferma di essere a conoscenza di “parecchi casi” del genere.
Sherrets, dal canto suo, afferma che, pur non ritenendo che gli hacker rubino criptovalute con l’intenzione di ricevere una ricompensa inversa, «sembra semplicemente che le cose si svolgano in modo naturale, soprattutto quando vengono scoperte informazioni identificative sugli hacker o quando questi ultimi incontrano difficoltà nel trasferire le criptovalute rubate».
Sebbene i malintenzionati possano ricettare o riciclare criptovalute rubate su siti di “mixer” di criptovalute quali (Tornado Cash), e (Blender.io) — che il Dipartimento del Tesoro degli Stati Uniti ha recentemente sottoposto a sanzioni — è difficile farlo poiché le transazioni sulla blockchain vengono registrate e sono consultabili da chiunque, comprese le forze dell’ordine.
«È una seccatura convertire le criptovalute in denaro reale», afferma Sherrets.
Dichiarazioni pubbliche
Le aziende ne sono consapevoli e spesso si rivolgono apertamente ai criminali informatici affinché restituiscano il denaro, utilizzando un tono conciliante, proponendo di non procedere penalmente e lasciando intendere la possibilità di una qualche forma di ricompensa in caso di comportamento corretto. Quando, ad esempio, la piattaforma di criptovalute Poly Network è stata vittima di un attacco hacker lo scorso anno, secondo quanto riportato avrebbe fatto ricorso a definire il proprio aggressore “Mr. White Hat”, avrebbe offerto una ricompensa di 500.000 dollari per il rilascio dei fondi sottratti e si sarebbe offerta di nominarlo proprio “consulente capo per la sicurezza”. La maggior parte dei fondi è stata restituita all’indirizzo e.
«È una seccatura convertire le criptovalute in denaro reale.”Dane Sherrets, architetto senior delle soluzioni, HackerOne
Avendo preso atto di tale comportamento all’inizio di quest’anno, il Dipartimento di Giustizia degli Stati Uniti ha teso un ramoscello d’ulivo, affermando che non avrebbe Enforce applicato la legge federale sul frode e l’abuso informatico (Computer Fraud and Abuse Act, CFAA) nei confronti degli hacker che ritiene agiscano in “buona fede” mentre conducono “ricerche sulla sicurezza”.
Naturalmente, è improbabile che tali misure concilianti possano influenzare o scoraggiare gli hacker che operano per conto di Stati come la Corea del Nord, che secondo i funzionari statunitensi sarebbe responsabile dell’attacco alla rete blockchain Harmony. Gli Stati-nazione hanno motivazioni diverse per sferrare attacchi informatici.
Sherrets di HackerOne osserva che le procedure e le tariffe relative ai programmi di bug bounty sono ancora in fase di evoluzione e che è probabile che subiscano modifiche nei prossimi mesi e anni. «Ciò a cui assisteremo probabilmente in futuro è una maggiore attenzione al rischio di perdite e alla determinazione del risarcimento per i diversi tipi di impatto», afferma. «Ritengo che sia logico che le taglie continuino ad aumentare. “Penso semplicemente che ciò che verrà pagato e il modo in cui verrà pagato saranno diversi.”
