История с взломом ZetaChain оказалась ещё неприятнее, чем казалась поначалу. Выясняется, что уязвимость, которую злоумышленники использовали для кражи $334 000, была заблаговременно задокументирована и отправлена в рамках программы bug bounty — однако команда проекта отклонила этот отчёт, не придав ему должного значения.
Иными словами, у ZetaChain была возможность закрыть дыру до того, как кто-то ею воспользовался. Исследователь безопасности сделал свою работу — нашёл проблему и сообщил о ней по официальному каналу. Но репорт был отвергнут, и в итоге именно эта брешь стала точкой входа для атаки.
Подобные случаи — к сожалению, не редкость в индустрии. Программы bug bounty существуют именно для того, чтобы «белые» хакеры могли помогать проектам находить слабые места раньше злоумышленников. Когда такие сигналы игнорируются, доверие к самому институту ответственного раскрытия уязвимостей подрывается — и исследователи начинают задаваться вопросом, есть ли смысл вообще сообщать о находках.
Для ZetaChain это двойной удар: и финансовые потери, и репутационный ущерб от того, что команда фактически проигнорировала предупреждение.
Этот случай — наглядное напоминание для всей отрасли: программа bug bounty работает только тогда, когда к входящим отчётам относятся серьёзно. Игнорирование исследователей безопасности — это не экономия ресурсов, а прямой путь к куда более дорогостоящим последствиям.
Источник: cointelegraph.com