Sky Mavis offre une prime de bogue d’un million de dollars après le piratage du pont de Ronin

Sky Mavis, la société à l’origine d’Axie Infinity, offre jusqu’à 1 million de dollars à toute personne capable d’identifier les failles de sécurité majeures de sa plate-forme. Cela survient après que l’entreprise a été frappée par le plus grand hack défi de l’histoire, avec plus de 600 millions de dollars drainés du pont Ronin.

Un appel aux Whitehats

Selon le site Web de l’entreprise, le programme Sky Mavis Bounty fera référence à la taxonomie d’évaluation de la vulnérabilité de Bugcrowd. Le système aidera Sky Mavis à hiérarchiser et à évaluer les conclusions de sa communauté concernant les problèmes de sécurité. Plus une vulnérabilité donnée est grave et perturbatrice pour l’entreprise, plus la récompense pour sa découverte sera grande.

Les vulnérabilités potentielles sont réparties en deux catégories : « Contrats intelligents et blockchain » et « Web et applications ». Une liste de contrats intelligents et d’applications Web éligibles à l’examen est fournie.

Les failles de sécurité du Web et des applications offrent généralement moins de récompenses, avec un maximum de 15 000 USD offerts pour les découvertes « critiques ». En revanche, les faiblesses de la blockchain promettent des récompenses sur cinq niveaux de gravité, allant de 1 000 $ pour les découvertes à «faible» risque à 1 000 000 $ pour les découvertes «fatales». Ces récompenses seront payées en Axie Infinity Shards (AXS).

Le programme est cependant assorti de règles strictes et spécifiques. Par exemple, les vulnérabilités doivent inclure une preuve de concept, plutôt que de rester purement théoriques. Ils ne doivent pas nécessiter de root/jailbreak pour être exécutés et doivent avoir un impact tangible sur la sécurité. Les rapports provenant d’outils automatisés et d’analyses ne sont pas non plus éligibles.

Au lieu de cela, le programme donne la priorité aux problèmes tels que les erreurs de réentrance et de logique, qui incluent les erreurs d’authentification de l’utilisateur. Les problèmes de congestion/d’évolutivité, les échecs de consensus et la manipulation de l’horodatage des blocs sont également des problèmes éligibles.

« Appel à tous les whitehats dans l’espace blockchain », a tweeté Sky Mavis COO Alexsander Larsen lundi. « Le programme Sky Mavis Bug Bounty est là. Aidez-nous à assurer la sécurité du réseau Ronin tout en gagnant une prime ».

Les « hackers whitehat » sont des personnes qui utilisent leurs compétences de piratage pour une bonne cause, pour aider à informer les entreprises des failles de sécurité afin de renforcer leurs réseaux. En janvier, un hacker whitehat a renvoyé environ 813 000 $ d’ETH au protocole multichaîne, qui a été touché par un piratage de 2 millions de dollars la veille.

Récapitulatif : le piratage du pont Ronin

À la fin du mois dernier, Ronin – la chaîne latérale Ethereum sur laquelle opère Axie Infinity – a vu plus de 600 millions de dollars en ETH et USDC drainés de son pont blockchain. Le pirate a réussi cela en compromettant la majorité des nœuds de validation de Ronin.

Le piratage n’a été remarqué que 6 jours après qu’il a eu lieu. Depuis lors, Sky Mavis s’emploie à récupérer les fonds volés et a promis un remboursement aux joueurs d’Axie qui ont été touchés. Cependant, le pirate informatique semble déjà obscurcir les fonds par petits lots à l’aide d’un service de mixage.