駭客二選一:Coinbase 漏洞交易賺 1 億或是良心舉報賺 700 萬?

作者 | 發布日期 2022 年 02 月 23 日 10:43 | 分類 Fintech , 加密貨幣 , 區塊鏈 Blockchain Telegram share ! follow us in feedly


美國最大上市加密貨幣交易所 Coinbase 運氣非常好,在白帽駭客協助下,躲過足以直接毀滅整間企業的核彈級交易漏洞,這位白帽駭客則獲得 25 萬美元舉報獎金。

白帽駭客是指擁有高超資訊技術,但不以攻擊或竊取資料為目標,相反地透過這些手段,找出企業可能的資安漏洞賺取獎金,是網路世界極高尚的職業。

帳號 Tree of Alpha 的白帽駭客,2 月初就因替加密貨幣交易所 Coinbase 找到漏洞,獲得高達 25 萬美元的獎金(約新台幣 700 萬元),但和他發現的漏洞相比,簡直是滄海一粟。

Coinbase 測試中的進階交易功能,Tree of Alpha 發現使用者兩個帳號出現幣種檢驗錯誤問題,導致可用 A 帳號的貨幣種類交易,但交易單位卻是 B 帳號的數量。

把柴犬幣當比特幣賣

舉例來說,只要在 A 帳號放入 100 顆柴犬幣,價值 0.002 美元;然後用 B 帳號(無資產的比特幣帳戶)建一筆出售 100 顆比特幣對美元的交易,同時手動將交易對象從 B 帳號改為 A 帳號,這時就會觸發系統 API 漏洞,系統無法檢驗帳戶數量是否正確,最終這筆交易就會變成賣掉 100 顆柴犬幣,然後獲得 380 萬美元,約新台幣 1 億元。

「我做的事情很簡單,我發起一筆 0.0243ETH 訂單,但採比特幣對美元交易,結果還真的成交了。」Tree of Alpha 表示,他原本以為只是介面顯示錯誤,檢查 API 和交易紀錄後才確認,系統真的讓他把以太幣當成比特幣賣。

這無疑是毀滅性漏洞,一旦更多使用者發現這個漏洞,等於平空搬走 Coinbase 幾乎全部資產,同時還要賠償交易配對錯誤的用戶損失。

利用漏洞賺錢之前,Tree of Alpha 幾乎第一時間就與 Coinbase 聯繫舉報漏洞,這善意讓他獲得 25 萬美元獎金,但跟可能造成的損害相比,似乎有點便宜?

「其實我們很難真的估算漏洞可能造成的損害,因此我並不覺得獎金太少。」Tree of Alpha 表示,獎金通常是根據損害程度估算,目前並沒有證明這漏洞可穩定再現,因此他並不期望有上百萬美元的獎金。

資安懸賞金額是微妙的平衡,必須夠多才能讓不黑不白的駭客願意舉報;但如果獎金太多,反會導致一堆人瘋狂攻擊,嘗試找到漏洞。

在去中心化時代,Tree of Alpha 也呼籲用戶,雖然區塊鏈技術解決不少「信任」問題,但還有許多細節要注意,例如智慧合約是否夠安全、電子錢包會不會被搶劫或破解,甚至加入的交易所也許只是個騙局。

(首圖來源:Unsplash