Compass Investments

-Les géants du stabcoin Circle et Tether, qui pèsent plusieurs milliards de dollars, ont fait l’objet d’un examen minutieux de la part de la société de gestion des risques DeFi en raison de leurs programmes de primes de bug prétendument inadéquats, limités à des montants allant jusqu’à 10 000 dollars.

Le 1er septembre, LlamaRisk a publié un rapport dans lequel elle a examiné les programmes de primes à la vulnérabilité pour les cryptoactifs inclus dans le protocole V3 d’Aave.

Il s’est avéré que 33 actifs, représentant 19,7 milliards de dollars de l’offre totale d’Aave, disposent de programmes adéquats de primes à la vulnérabilité. Pour dix actifs, qui représentent 19,2 milliards de dollars de l’offre d’Aave, les programmes sont soit inexistants, soit considérés comme grossièrement inadéquats.

LlamaRisk note que Circle, avec 70 milliards de dollars d’actifs sous gestion, dispose d’un programme de primes aux bugs extrêmement maigre avec une limite de 5 000 dollars. Tether, avec 160 milliards de dollars d’actifs sous gestion, offre une prime de vulnérabilité de seulement 10 000 dollars.

Parmi les autres actifs présentant de faibles niveaux de compensation figurent BitGo, wrapped bitcoin, Gnosis et Ripple, tandis qu’Etherfi, Monerium, PayPal et Agora sont désignés comme étant totalement dépourvus de programmes actifs de primes à la détection de bogues.

LlamaRisk souligne que Circle, Tether et Paywell fonctionnent comme des émetteurs centralisés et entièrement sécurisés, avec des mécanismes juridiques robustes en place pour compenser les divers risques de sécurité que les primes aux bogues abordent.

Pour que les bug bounties attirent des chercheurs qualifiés, le paiement minimum devrait commencer à 50 000 dollars et être basé sur la valeur totale des fonds bloqués (TVL) dans le système, selon LlamaRisk.

Pour les protocoles dont la valeur des fonds bloqués est supérieure à 250 millions de dollars, une récompense maximale supérieure à 1 million de dollars est considérée comme un programme suffisamment capitalisé, selon LlamaRisk.

Les primes à la détection de bogues sont en train de devenir des normes industrielles de facto.

Les programmes de primes aux bugs sont proposés aux pirates blancs pour inciter les chercheurs éthiques à trouver des vulnérabilités dans les logiciels. Par exemple, Coinbase a lancé cette année un programme de primes aux bugs axé sur la protection de ses contrats intelligents, avec des paiements allant de 5 000 dollars pour des vulnérabilités mineures à 5 millions de dollars pour la découverte de problèmes critiques.

Les pirates blancs sont tenus de rédiger un rapport de piratage, de ne pas divulguer les détails à des tiers et de ne pas utiliser les informations à leur détriment.

Toutefois, dans certains cas, des récompenses sont offertes aux mauvais joueurs qui volent des fonds à l’entreprise. Par exemple, en juillet de l’année dernière, la bourse de crypto-monnaies GMX a été attaquée pour 42 millions de dollars ; la bourse a offert à l’attaquant une récompense de 10 % , après quoi le pirate a commencé à restituer une partie des fonds en échange de 5 millions de dollars.

LlamaRisk, partiellement financée par la DAO Aave, estime qu’Aave devrait s’engager auprès des actifs enregistrés sur son protocole et les encourager à mettre en œuvre un programme de primes aux bugs conforme aux normes de l’industrie.