观点作者：Mitchell Amador，Immunefi创始人兼首席执行官
加密货币抵御灾难性黑客攻击的最佳防御不是代码——而是激励机制。漏洞赏金已经防止了数十亿美元的损失，重要的是要强调，如果没有建立正确的激励机制，这些数十亿美元可能是被利用的漏洞，而不是负责任的披露。这种保护只有在白帽行为的激励明显超过利用漏洞的激励时才有效，而当前的市场趋势正在以危险的方式倾斜这种平衡。
扩展漏洞赏金标准意味着奖励规模应随着风险资本的数量而增长。如果一个漏洞可能耗尽1000万美元，赏金应该提供高达100万美元的奖励。对于安全研究人员来说，这些是改变生活的激励，促使他们披露而非利用漏洞，与被黑客攻击的毁灭性后果相比，这对协议来说是成本效益的。这种扩展方法保护整个协议免遭破坏，并确保链上金融的持续增长。
问题在于市场竞争正在扭曲这些激励机制。一些平台现在将其最低成本服务计划与有上限的赏金奖励挂钩，有时不超过5万美元。这种定价结构迫使协议最小化奖励并降低成本，为下一次灾难性黑客攻击创造了条件。
漏洞赏金作为防御机制
Cork Protocol最近的1200万美元黑客攻击提供了一个说明性例子。该协议将其关键漏洞赏金设定为仅10万美元，只是风险资金的一小部分。这种错位创造了一个简单的经济计算：如果有上限的支付比利用价值低120倍，为什么要花费数百小时寻找漏洞？这样的数学不会阻止利用；它会鼓励利用。
漏洞赏金是关键的防御机制，只有在与风险一致时才有效。当拥有数千万总锁定价值的协议提供低五位数的赏金时，他们实际上是在赌黑客会选择道德而非经济利益。这不是策略——这是希望。
百万美元标准存在是有原因的
加密货币的安全标准是通过百万美元时刻锻造的。MakerDAO设定了1000万美元的赏金，表明了保护的价值。Wormhole在关键漏洞利用后支付1000万美元，巩固了有意义的安全需要有意义激励的先例。在一个漏洞可以在几分钟内耗尽资金库的行业中，安全研究人员需要改变生活的理由来选择披露而非破坏。
这种扩展方法已被证明有效。当关键漏洞可能影响数百万用户资金时，赏金应该提供成比例的奖励，通常约为风险资本的10%。这些经济学有助于确保最优秀的研究人员留在生态系统中，并保持报告漏洞的动力。
市场力量正在创造危险先例
争夺市场份额的竞争导致一些平台在价格而非安全结果上竞争。通过将平台费用与有上限的赏金奖励挂钩，他们创造了一种反常的激励结构；协议选择较低的奖励以最小化成本，不是因为风险证明了这一点，而是因为定价鼓励这样做。这是对漏洞赏金本质的根本误解。它们不仅仅是支出；它们是保险政策，其价值必须与它们保护的东西成比例。
更糟糕的是，一些安全平台现在要求限制研究人员工作地点的排他性合同。其他平台允许披露后重新定价，这破坏了研究人员的信任。这些做法侵蚀了使漏洞赏金首先有效的社会契约。如果熟练的研究人员对系统公平性失去信心，他们有三个选择：停止狩猎、转向私人审计或转入地下。
结果是寒蝉效应：协议限制奖励以削减成本。研究人员选择退出，因为上行空间不值得努力。关键漏洞未被发现。漏洞利用发生。协议进一步削减安全预算。这是一个死亡螺旋，除了恶意行为者外，对任何人都没有好处。
来自Web2的警告
与Web2漏洞赏金失败的相似之处令人担忧。在那里，长期的低薪和对研究人员的恶劣待遇导致许多熟练的白帽完全放弃公共项目。加密货币不能犯同样的错误，尤其是当数万亿价值准备转移到链上，机构正在密切关注时。
一些人认为早期团队负担不起大额赏金。然而，事实是，成功黑客攻击的成本总是会超过一个良好对齐的漏洞赏金的成本。失去资金是昂贵的。失去信任是致命的。
前进道路需要行业协调
保护加密货币的安全基础设施需要认识到漏洞赏金基于信任和激励运作。每个定价过低的项目都会削弱保持熟练研究人员站在法律正确一边的社会契约。
解决方案并不激进。维持反映实际风险的赏金奖励。确保对研究人员的透明、公平待遇。抵制将安全视为成本中心而非价值驱动因素的诱惑。
至关重要的是，平台必须停止激励协议削弱自己的防御。
去中心化经济只有在信任与其一起扩展时才能运作。如果我们希望加密货币继续增长，获得用户、监管机构和机构的信心，我们需要不仅在纸面上而且在实践中都有意义的赏金系统。加密货币只有在其防御者被赋权行动的程度上才能蓬勃发展。
观点作者：Mitchell Amador，Immunefi创始人兼首席执行官。
相关推荐：TRM Labs：伊朗加密货币资金流因以色列冲突和Nobitex黑客攻击下降11%
本文仅供一般信息目的，不旨在成为且不应被视为法律或投资建议。此处表达的观点、想法和意见仅为作者个人观点，不一定反映或代表Cointelegraph的观点和意见。