Il celebre exchange Coinbase ha appena pagato un premio di 30.000 dollari ad un utente che ho scoperto un bug nel loro sistema.
Read this article in the English version here.
Si tratterebbe di una non meglio identificata “vulnerabilità critica” presente nei loro sistemi: un portavoce di Coinbase ha confermato che il bug è stato risolto, ma senza fornire ulteriori dettagli sulla natura di questa vulnerabilità.
Il bug è stato segnalato il 12 febbraio sul programma bounty di Coinbase su HackerOne e l’unica informazione disponibile è il premio pagato allo scopritore: 30.000 dollari che fanno presumere ad una vulnerabilità piuttosto grave.
Infatti, Coinbase offre premi agli scopritori delle proprie vulnerabilità sulla base della loro gravità: 200 dollari per i problemi a basso rischio, 2.000 dollari per il medio, 15.000 dollari per l’alto e 50.000 dollari per il livello critico. Il premio pagato questa volta sarebbe a metà strada tra il rischio alto ed il rischio critico.
Per poter essere definita ad “impatto critico” una vulnerabilità deve consentire all’aggressore di “leggere o modificare dati sensibili nel sistema, eseguire codice arbitrario o sottrarre valuta digitale o fiat in qualche modo”, inoltre l’aggressore deve essere in grado di “sfruttare unilateralmente il risultato senza ostacoli significativi o condizioni speciali al di fuori del controllo dell’attaccante stesso”.
Non è la prima volta che Coinbase riconosce bug segnalate tramite il suo programma bounty, ma solitamente si tratta di vulnerabilità a basso rischio a cui vengono assegnati premi di poche centinaia di dollari. Il premio di 30.000 dollari è pertanto piuttosto inusuale, oltre che decisamente significativo.
L’anno scorso, ad esempio, fu elargito un premio da 10.000 dollari a degli utenti che scoprirono come accreditarsi quantità illimitate di Ethereum.
