Coinbaseは恐喝の試みを阻止し、バグ報奨金プログラムを強化します

コインベース (コイン ）は、取引量でアメリカ最大の仮想通貨取引所であり、米国の株式市場に上場した最初の仮想通貨取引所であり、その意識を高めています。バグ報奨金プログラム 最近の恐喝の試みの後。

今月初め、悪意のある攻撃者が Coinbase と CoinDesk の両方に電子メールを送信し、3 億 600 万の Coinbase ユーザー アカウントから機密データを「ハッシュ解除」および「復号化」したと主張しました (Coinbase は、データを「ハッシュ解除」または「復号化」することは数学的に不可能であると述べています)。この個人は、Coinbase が 450,000 ドルを払い出さなければ公開すると脅迫しました。

Coinbase のセキュリティ チームは恐喝者に連絡を取り、その後、侵害の主張には根拠がないことを確認しました。 (Coinbase は、通常、そのような場合に法執行機関と協力していることを確認しましたが、起訴される可能性があるかどうかについては詳しく説明しませんでした。)

「これは全く根拠のない恐喝の試みです。個人は、正当であると思わせるために情報を改ざんしており、企業から金を巻き上げようとしているだけです。コインベースの最高情報セキュリティ責任者であるジェフ・ラングルホーファー氏は、CoinDeskのインタビューで、私たちが彼らのリストに載った最初の会社でも、彼らが実行した唯一の詐欺でもないと確信しています.

実は先月、Uber の元最高セキュリティ責任者である Joe Sullivan は、2 つの重罪で有罪判決を受けました。 2016 年にライドシェアリング会社のデータベースが侵害された後、ハッカーへの 10 万ドルの恐喝の支払いを隠蔽したとして。

Uber のスキャンダルと最近の電子メール事件の両方により、Lunglhofer は新しい環境での堅牢なバグ報奨金プログラムの重要性を繰り返し強調するようになりました。コインベースのブログ投稿。 バグ報奨金は、企業がシステムの脆弱性を発見して警告する個人または外部のセキュリティ チームに支払う報酬です。

「最近の Uber の判決を受けて、バグ報奨金の提出が恐喝の試みになることについて、業界では多くの懸念があります」と Lunglhofer は書いています。 「私たちが受け取った最近の（詐欺的な）強要の試みによって示された、責任ある開示のためのベストプラクティスのいくつかを共有したいと考えました。」

バグを発見しました。それで？

個人が Coinbase のプラットフォームのいずれかで脆弱性を発見した場合、Lunglhofer 氏は、疑わしいバグの詳細かつ正確な説明を提供することを強調しています。

「十分な詳細が欠けている提出物を評価することはできません」と彼は述べています。

Lunglhofer が通常探す詳細は、機密情報や実際の暗号資産へのアクセス パス、および脆弱性による潜在的な損害の兆候などです。

個人が関連するすべての詳細を収集したら、2 番目のステップは、Coinbase がバグにパッチを当てるのに十分な時間を確保してから、バグの存在を他の人に開示することです。

「責任あるセキュリティ研究者は、詳細を他の当事者に開示する前に、セキュリティの問題に対応して修正するための妥当な時間を常に提供してくれます」と Lunglhofer 氏は言います。

最後に、Lunglhofer は合法性を維持することの重要性を強調しています。会社に 45 万ドルを強要または恐喝しようとすることは、あからさまに犯罪です。

「バグ報奨金の提出には、脅迫や恐喝の試みを含めることはできません。私たちは、正当な発見に対して報奨金を支払うことに常にオープンです」と Lunglhofer 氏は言います。 「身代金の要求はまったく別の問題です。」

Coinbase のバグ報奨金プログラムは、先月 10 周年を迎えました。このプログラムは、600 以上のバグを発見して修正し、今年だけで 400,000 ドル以上の報奨金を支払いました。このプログラムの最大の報奨金である 250,000 ドルは、Coinbase の取引インターフェースの脆弱性を発見した独立した研究者に 2 月に支払われました。