Необычная программа вознаграждения: кошелёк Zengo предлагает 10 Bitcoin хакерам за обнаружение уязвимостей

В беспрецедентном шаге в мире кибербезопасности провайдер криптовалютных кошельков Zengo Wallet объявил об уникальной программе вознаграждений за уязвимости, которая предлагает хакерам шанс выиграть существенное вознаграждение в размере 10 биткоинов (BTC), что в настоящее время оценивается более чем в $430 000.

Этот нестандартный подход направлен на то, чтобы подвергнуть безопасность кошелька Zengo Wallet максимальному испытанию, предоставив весомый стимул для выявления и эксплуатации потенциальных уязвимостей. Программа будет длиться 15 дней, начиная с 9 января и заканчивая 24 января 2024 года.

В отличие от традиционных программ вознаграждений за уязвимости, которые вознаграждают «белых шляп» хакеров за обнаружение и ответственное раскрытие уязвимостей, Zengo Wallet идет другим путем. Вместо того чтобы платить хакерам за выявление и сообщение об ошибках, компания размещает 10 биткоинов на счете, контролируемом разработчиками. 

Суть заключается в том, что если хакеру удастся успешно вывести биткоины со счета, ему будет разрешено оставить всю сумму себе.

Хронология программы вознаграждений

Программа вознаграждений за уязвимости Zengo Wallet разделена на несколько фаз в течение 15 дней, начиная с 9 января. Вот разбивка хронологии программы:

9 января: Адрес счета будет раскрыт, и изначально на нем будет находиться 1 BTC, примерно $43 000.

14 января: Zengo Wallet добавит дополнительные 4 BTC, что в сумме составит $172 000, на счет и предоставит один из «факторов безопасности», используемых для защиты счета.

21 января: Команда добавит еще 5 BTC, что составит $215 000, в кошелек и раскроет второй фактор безопасности. Кошелек полагается на всего три фактора безопасности.

Хакеры, желающие принять участие, будут иметь до 16:00 UTC 24 января, чтобы попытаться взломать кошелек. Если кому-то удастся сделать это в течение этого временного промежутка, он будет иметь право оставить себе все 10 BTC вознаграждения.

Уникальные функции безопасности кошелька Zengo

Кошелек Zengo отличается уникальным подходом к безопасности. Он позиционируется как кошелек «без уязвимости, связанной с сид-фразой», что является значительным отходом от традиционных криптовалютных кошельков. Пользователям не нужно записывать сид-слова при создании аккаунта, а сам кошелек не хранит файл хранилища ключей.

Основой безопасности Zengo Wallet является использование технологии сети многосторонних вычислений (MPC) для подписи транзакций. Вместо генерации закрытого ключа кошелек создает два отдельных «секретных фрагмента». Первый фрагмент хранится на мобильном устройстве пользователя, а второй — в сети MPC.

Фрагмент пользователя дополнительно защищен методом трехфакторной аутентификации (3FA), который требует доступа к зашифрованному резервному файлу в аккаунте Google или Apple, электронному адресу, привязанному к аккаунту кошелька, и сканированию лица на мобильном устройстве. Эти три фактора критически важны для восстановления фрагмента пользователя.

Кроме того, существует метод резервного копирования для фрагмента сети MPC. Zengo Wallet доверила «мастер-ключ дешифрования» сторонней юридической фирме. Если серверы сети MPC станут недоступны, эта юридическая фирма сможет опубликовать ключ дешифрования в репозитории GitHub. 

В таком случае приложение кошелька автоматически перейдет в «режим восстановления», позволяя пользователям восстановить фрагмент сети MPC, соответствующий их аккаунту. После получения обоих фрагментов пользователи могут сгенерировать традиционный закрытый ключ и импортировать его в другое приложение кошелька, что облегчит восстановление аккаунта.

Решение Zengo Wallet использовать нестандартную программу вознаграждения за обнаружение уязвимостей (bug bounty) вызвало значительный интерес в сообществах криптовалют и кибербезопасности. Этот уникальный подход бросает вызов хакерам найти и эксплуатировать уязвимости в кошельке, который заявляет о более высоком уровне безопасности, особенно за счет устранения необходимости использования сид-фраз и традиционных закрытых ключей.

Криптовалютное сообщество будет внимательно следить за любыми developments по мере развертывания программы bug bounty в ближайшие недели. Эта инновационная инициатива проверяет безопасность кошелька и расширяет границы традиционных практик вознаграждения за уязвимости.