[Verbatino]

1.000.000 PLN bug bounty za taki prymitywny błąd:

Użytkownik ma konto A, na którym posiada 100 SHIB (1 SHIB = 0.0001 PLN :), oraz drugie konto B, na którym posiada 0 BTC

Użytkownik uruchamia funkcję API, która ma sprzedać BTC i kupić za to USD. Ale przecież nie mamy żadnych BTC! No więc chwilę przed wysłaniem żądania HTTP do funkcji API, zmieniamy konto źródłowe (z tego BTC) na konto SHIB (tam jest 100 SHIBów).

W tym miejscu (tzn. pkt powyżej ;-) jest istota błędu. Sprawdzana była liczba waluty na koncie, z którego ma być zrobiony ~przelew, ale nie było sprawdzane czy waluta na tym koncie, jest tą, którą sprzedajemy.

Chyba trzeba się przerzucić na security ¯\_(ツ)_/¯

Źródło: https://sekurak.pl/coinbase-wyplacilo-1000000-pln-bug-bounty-dziecinna-luka-w-logice-biznesowej/
@sekurak
#programista15k #informatyka #bezpieczenstwo #security #heheszki #kryptowaluty

[elementarz1]

@Verbatino: https://twitter.com/Tree_of_Alpha/status/1495014902582362112 tu sam autor opowiada jak było
Najpierw sprzedał jakoś z 0.024 eth jako btc, a potem zmienił eth na shibe (miał jej kilka milionów) i sprzedał 50 jako 50btc

In order to get a failed message, I changed the product_id to BTC-USD, but did not change the two account ids (source is my ETH wallet, target is my EUR wallet).

Expecting an error because my account is not allowed

[sepuqqu]

1.000.000 PLN bug bounty za taki prymitywny błąd:

@Verbatino i co w tym dziwnego?

[najmniej4znaki]

@Verbatino: z tych 250k$ to sie wszyscy smieja, ze coinbase chyba sobie zarty robi. Gdyby gosc chcial to mogl znukować cały market a sam coinbase wydaje 10-40mln$ na reklame kodu qr na superbowlu. Takim malym bug bounty coinbase sie tylko osmieszyl

[Verbatino]

@elementarz1:
Niby "mógł zabić", ale nie jest powiedziane, że udałoby mu się spieniężyć konto... a nawet jakby spieniężył uwzględniając wirówki, etc. to i tak mógłby być ścigany za oszustwo albowiem pierwsze operacje wykorzystujące ten błąd wykonywał prawdopodobnie na swoim prawdziwym koncie.
Obecnie nikt o zdrowym rozumie nie bawi się w darkhata by potem się ukrywać całe życie - potencjalnie.

@najmniej4znaki:
Kwota jest i tak stosunkowo wysoka.
Ten bug tak naprawdę

[najmniej4znaki]

@Verbatino: W community krypto rządzi się to troche innymi prawami, i taki bug to na spokojnie 2mln$ bugbounty. Zrozum, że on nie musiałby tutaj nic spieniężać na coinbasie. Mogl doslownie sprzedawac btc (lub inny coin) bez konca (czyli mógł np na innej giełdzie postawić shorta 20x i stamtąd czerpać zysk nukując tego danego coina)

[najmniej4znaki]

@Verbatino: Przykładowo tutaj ostatnio dev znalazł bug, który naraził ~300mln$ i otrzymał za niego 2mln$ bug bounty.
https://cointelegraph.com/news/ios-jailbreak-dev-wins-2m-bounty-for-finding-critical-optimism-bug

Nieporównywalnie mniejsze potencjalne straty niż w przypadku z coinbasem

[Verbatino]

@najmniej4znaki:
W każdym przypadku byłby łatwo wykrywalny.
Flashowanie dużych shortów na innej giełdzie w celu zebrania z paniki i algosów -> wykrywalne.
Manipulacja ceny altcoinów -> wykrywalne
Spieniężenie -> wykrywalne.

Przykładowo tutaj ostatnio dev znalazł bug, który naraził ~300mln$ i otrzymał za niego 2mln$ bug bounty.

https://cointelegraph.com/news/ios-jailbreak-dev-wins-2m-bounty-for-finding-critical-optimism-bug

Nieporównywalnie mniejsze potencjalne straty niż w przypadku z coinbasem

@najmniej4znaki: To jest inna historia i ona została faktycznie wyceniona bardzo wysoko - również

[najmniej4znaki]

@Verbatino: A może to właśnie wszyscy wypłacają za małe bug bounty? ( ͡° ͜ʖ ͡°) Nadal pozostaje przy opinii, że 250k to zdecydowanie za mało jak na błąd który mógł spowodować tak wiele złego w niepowołanych rękach

[Verbatino]

A może to właśnie wszyscy wypłacają za małe bug bounty? ( ͡° ͜ʖ ͡°) Nadal pozostaje przy opinii, że 250k to zdecydowanie za mało jak na błąd który mógł spowodować tak wiele złego w niepowołanych rękach

@najmniej4znaki: Dlatego podałem poprzednio przykład z Android VRP, gdzie exploit był bardzo poważny i mógł mieć wpływ na olbrzymią ilość urządzeń a Google wypłaciło raptem 160.000 USD.
Kryptocyrk wypłaca stosunkowo duże

[najmniej4znaki]

@Verbatino: No to nie rozumiem skąd ten twój komentarz, że aż 1mln pln za taką łatwizne ( ͡° ͜ʖ ͡°) Trzeba ganiać w takim razie google, że tak mało bug bounty daje

[najmniej4znaki]

Android VRP, gdzie exploit był bardzo poważny i mógł mieć wpływ na olbrzymią ilość urządzeń a Google wypłaciło raptem 160.000 USD.

@Verbatino:
Poza tym nie liczy się to ile urządzeń było podatnych, tylko na jakie straty mogło to narazić google

[elementarz1]

@najmniej4znaki: @Verbatino: dokładnie, niektórzy trzymają na giełdzie więcej niż wartość smartphona. Jakby przez tego buga zabrakło płynności to wszyscy skończyliby jak klienci MTgoxa, a uwierz mi oni woleliby stracić telefon z androidem z tamtych czasów niz btc z tamtych czasów

[ulytdojatyzc]

Whitehat mógł, jeśli nie zakończyć hossy (wykorzystane nieumiejętnie, krótkotrwała korzyść) to opóźnić kolejne wzrosty (za to by wielu było wdzięcznych) tworząc flash crash jak ten covidowy.

Temat ma swoje rozwinięcia, idąc w stronę maksymalizacji zysków przy jednoczesnym zatarciu śladów, powinien sprzedawać małe nieregularne kwoty z nieswojego konta i wrzucać do mixowania -> inna giełda (sprzedaż do innej krypto)-> znowu mix -> jeden ze swoich nowych portfeli.

Proces powtarzać wielokrotnie sprzedając drobne części

[sekurak]

@Verbatino: tutaj nieco bardziej skomplikowany błąd: https://sekurak.pl/mogl-wytworzyc-dowolna-liczbe-falszywych-eth-wybral-bug-bounty-w-wysokosci-8000000-zl/ - i wypłata BB 8 milionów PLN ($2M). Kwestie rzeczywistej monetyzacji buga są powiedzmy sporne. Ale wypłata tak czy siak robi wrażenie.