Ngành công nghiệp blockchain không lạ gì với các cuộc tấn công, chủ yếu vì nó lưu trữ và bảo vệ hàng tỷ tài sản kỹ thuật số. Hơn 55 triệu đô la đã bị mất chỉ trong tháng 10 vì các cuộc tấn công vào các dự án như Radiant Capital và Morpho Labs. Những cuộc tấn công này nhắm vào lỗi trong mã nguồn gốc của dự án, tìm kiếm lỗ hổng và cửa sau để xâm nhập.
Nhận thức được nhu cầu của một giải pháp phi tập trung để giảm thiểu điều này, Mitchell Amador đã thành lập ImmuneFi để bảo vệ các dự án blockchain khỏi các lỗi có thể gây ra vấn đề, dù nhỏ đến đâu. Do đó, chúng ta cần hiểu ImmuneFi làm gì và làm thế nào nó có lợi cho cộng đồng blockchain.
Nguồn:immunefi
Immunefi là một nền tảng bảo mật bảo vệ các dự án Web3 bằng cách xác định và khắc phục lỗi trong hệ thống blockchain, hợp đồng thông minh và ứng dụng phi tập trung (dApps). Lỗi đơn giản là nhược điểm hoặc lỗ hổng trong mã nguồn của hệ thống. Về cơ bản, ImmuneFi khuyến khích các hacker trắng đạo (white hat) tìm và báo cáo lỗi và thưởng họ dựa trên mức độ nghiêm trọng của lỗ hổng.
Bên cạnh dịch vụ săn lỗi nhận tiền thưởng, Immunefi cung cấp các công cụ khác nhau để nâng cao an ninh blockchain. Những công cụ này bao gồm việc lưu trữ mạng, quản lý quá trình xử lý báo cáo lỗi và giám sát toàn bộ chương trình an ninh cho các dự án khác nhau. Dịch vụ hợp đồng thông minh của họ đặc biệt hữu ích cho việc tiến hành kiểm tra mã và phát hiện lỗ hổng, giúp bảo vệ khỏi các tác nhân độc hại. Immunefi cũng tự hào sở hữu một hệ sinh thái với hơn 35.000 nhà nghiên cứu an ninh, trong đó có hơn 1.000 người đã phát hiện ra các lỗi nghiêm trọng trên mainnet.
ImmuneFi được thành lập bởi Mitchell Amador, người đã ra mắt nền tảng vào ngày 9 tháng 12 năm 2020. Ý tưởng về ImmuneFi đã nảy ra với Amador trong một chuyến đi bộ đường dài ở dãy Alps của Thụy Sĩ vào đầu năm 2020, khi anh phát hiện ra rằng một dự án tiền điện tử khác đã trở thành nạn nhân của một sự cố hack. Sự cố này nhấn mạnh nhu cầu cấp thiết về cải thiện bảo mật trong không gian DeFi và Web3, vì không có giải pháp hiện có nào giải quyết được các lỗ hổng này.
Nhận ra rằng tài năng để giải quyết vấn đề này có trong cộng đồng, Amador nhận ra rằng cần có một nền tảng thống nhất để khuyến khích hacker giúp bảo vệ các dự án. Điều này đã dẫn đến việc tạo ra Immunefi, một nền tảng săn lỗi nhận tiền thưởng dành riêng cho việc nâng cao bảo mật của các ứng dụng Web3.
Kể từ khi thành lập, ImmuneFi đã tạo dựng được danh tiếng mạnh mẽ, hợp tác với các dự án nổi bật như Synthetix, TheGraph, Polygon, MakerDAO, Nexus Mutual, SushiSwap, Vesper Finance, Mạng Bancor, và Chainlink. Hôm nay, ImmuneFi là nền tảng săn lỗi nhận tiền thưởng hàng đầu trong Web3, phục vụ hơn 330 dự án.
Tác động của ImmuneFi đã rất lớn, với nền tảng được cho là dẫn đầu,tiết kiệm hơn 25 tỷ đô laHiện tại, sàn giao dịch đóng một vai trò quan trọng trong việc bảo vệ hơn 190 tỷ đô la tài sản của người dùng, gia tăng tầm quan trọng của bảo mật cộng đồng trong thế giới tiền điện tử đang ngày càng phát triển. Sàn đang bảo vệ tài khoản người dùng khỏi các cuộc tấn công tiềm năng và trả hơn 100 triệu đô la tiền thưởng cho các nhà sáng lập.
ImmuneFi vận hành một hệ thống săn lỗi nhận tiền thưởng minh bạch được hỗ trợ bởi một cơ chế đồng thuận bằng bằng chứng thực nghiệm. Một bằng chứng thực nghiệm là một mã code cơ bản, chức năng được viết bởi một hacker trắng nhằm làm nổi bật những lỗ hổng trong một hợp đồng thông minh hoặc hệ thống blockchain. Nó được tạo ra để chỉ ra cách những lỗ hổng đó có thể được khai thác mà không gây ra vấn đề nào trong môi trường thực tế. Do đó, chúng phục vụ như cách tiêu chuẩn để cung cấp bằng chứng về tác động tiềm năng của một lỗi đối với một dự án. Chúng cũng được yêu cầu bởi hầu hết tất cả các chương trình săn lỗi nhận tiền thưởng trên ImmuneFi.
Các hoạt động của ImmuneFi phục vụ cả những hacker whitehat và chủ dự án. Whitehats là những hacker đạo đức nhận dạng và giải quyết các lỗ hổng trong hệ thống và phần mềm trước khi những kẻ tấn công độc hại có thể lợi dụng chúng. Những kẻ tấn công độc hại đó được gọi là blackhats, và trong khi họ tham gia vào các hoạt động bất hợp pháp vì lợi ích cá nhân, whitehats hoạt động trong ranh giới pháp lý và thường hợp tác với các tổ chức để nâng cao sự an toàn của họ.
Một mặt, tin tặc mũ trắng (các chuyên gia an ninh mạng xác định và sửa chữa các lỗ hổng hệ thống) khám phá một loạt các khoản tiền thưởng lỗi trị giá hơn 162 triệu đô la từ các dự án có uy tín trong không gian Web3. Khi họ tìm thấy một chương trình phù hợp với bộ kỹ năng của họ, người tham gia có thể xem xét các yêu cầu tiền thưởng và kiểm tra mã cụ thể đủ điều kiện để xem xét. Tuy nhiên, chỉ những lỗi được phát hiện trong mã được chỉ định trong phạm vi tiền thưởng mới được thưởng.
Sau khi tìm thấy lỗi, hacker whitehat phải tạo tài khoản và gửi lỗi qua Nền tảng săn lỗi ImmuneFi. Ngay khi nhóm ImmuneFi xác nhận tính hợp lệ của lỗi, họ sẽ cùng hợp tác với thợ săn tiền thưởng và khách hàng để giải quyết vấn đề, sau đó sẽ tiến hành thanh toán.
Trên phía chủ dự án, họ sẽ phải điền mẫu dẫn đầu săn lỗi nhận tiền thưởng, sau đó họ sẽ nhận được một bảng câu hỏi. ImmuneFi sau đó sẽ sử dụng câu trả lời vào bảng câu hỏi để soạn thảo chương trình săn lỗi nhận tiền thưởng. Sau đó, dự án gửi bản nháp săn lỗi nhận tiền thưởng cho khách hàng xem xét. Nếu mọi thứ đều tốt, tiền thưởng sẽ được giao cho chuyên gia phát triển, người sẽ làm việc với nhóm tiếp thị của khách hàng để quyết định thời gian ra mắt tốt nhất và các chi tiết tiếp thị khác.
Là dịch vụ khách hàng, ImmuneFi viết đánh giá bugfix cho các lỗ hổng để nhắc nhở cộng đồng tiền điện tử lớn hơn về cam kết bảo mật của dự án. Họ cũng cung cấp hỗ trợ PR và tư vấn về cách truyền đạt hiệu quả các lỗ hổng vá.
ImmuneFi cũng sử dụng một hệ thống phân loại mức độ nghiêm trọngđể quản lý báo cáo lỗi một cách hiệu quả. Hệ thống này phân loại các lỗ hổng dựa trên tiềm năng ảnh hưởng đến quỹ người dùng, chức năng mạng và tổng thể an ninh giao thức. Mỗi dự án trong mạng lưới ImmuneFi được gán một cấp độ nghiêm trọng, được tìm thấy trong phần “Phần Thưởng theo Mức Độ Đe Dọa” trên trang chương trình săn lỗi của dự án.
Phiên bản mới nhất của Hệ thống Phân loại Mức độ Nghiêm trọng của Lỗ hổng của Immunefi (v2.3)sử dụng một thang bốn cấp: Critical, High, Medium và Low. Các lỗ hổng Critical có thể dẫn đầu đến hậu quả nghiêm trọng, như tắt mạng toàn bộ hoặc mất số tiền quan trọng, trong khi các hạng mục thấp hơn tập trung vào các vấn đề ít nghiêm trọng hơn, như lỗi nhỏ trong các hợp đồng thông minh.
Hệ thống cũng phác thảo các lĩnh vực được coi là ngoài phạm vi, bao gồm các lỗ hổng trong các tệp thử nghiệm, các cuộc tấn công liên quan đến quản trị và rủi ro kinh tế bên ngoài thẩm quyền của ImmuneFi. Khung này giúp các nhà phát triển tăng cường bảo mật dự án của họ bằng cách cung cấp các hướng dẫn tiêu chuẩn để phân loại và giải quyết các lỗ hổng. Nó cũng chỉ định tất cả các hành vi bị cấm trong các chương trình tiền thưởng lỗi để đảm bảo thực hành kiểm tra bảo mật có đạo đức và an toàn.
ImmuneFi là nơi chứa đựng một số tính năng thú vị, bao gồm:
Nguồn:immunefi
Các Hồ sơ ImmuneFigiúp những người bảo mật trắng trưng bày thành tựu của họ cho thế giới, bao gồm các lỗ hổng họ đã báo cáo, thu nhập của họ, các huy hiệu và giải thưởng họ đã đạt được, và xếp hạng của họ trên bảng xếp hạng ImmuneFi.
Trong khi vẫn là phiên bản đầu tiên, hồ sơ sẽ được cung cấp cho tất cả các hacker trắng có ít nhất một báo cáo trả phí trên ImmuneFi. Tuy nhiên, trong các bản cập nhật sắp tới, cộng đồng nghiên cứu toàn bộ có thể truy cập vào Hồ sơ. Phiên bản mới cũng sẽ bao gồm các tính năng mới, như Mục cống hiến, hiển thị báo cáo theo thời gian để người dùng có thể theo dõi tác động của mình.
ImmuneFi có sáu huy hiệu sẽ được gắn vào hồ sơ của người tham gia. Các huy hiệu này bao gồm:
Các huy hiệu, thẻ tăng cường và thành tựu sẽ được thêm vào trong các bản cập nhật sau này.
Nguồn:immunefi
Một Cuộc thi Kiểm toánLà một cuộc xem xét mã theo thời gian với một hồ bơi phần thưởng chỉ định cho whitehats. Trong suốt các sự kiện này, các hacker đạo đức báo cáo các lỗ hổng bảo mật và phần thưởng được phân bổ dựa trên tác động và mức độ nghiêm trọng của các khám phá của họ, theo hệ thống xếp hạng của Immunefi.
Immunefi hợp tác với mỗi dự án blockchain để tùy chỉnh cuộc thi, bao gồm quyết định kích thước phần thưởng và thời gian diễn ra sự kiện và cung cấp sự trợ giúp marketing chuyên gia để thu hút các nhà nghiên cứu tài năng.
Sau khi cuộc thi kết thúc, các thành viên sẽ được thưởng vì đóng góp của họ, và các dự án sẽ nhận được một báo cáo tổng hợp chi tiết mô tả những phát hiện và thông tin quan trọng thu được trong suốt sự kiện.
Các nhà phát triển có thể tổ chức cuộc thi kiểm tra trong vòng vài ngày và nhận được cập nhật thời gian thực trong quá trình diễn ra cuộc thi. Ngoài ra, chúng cũng tiết kiệm hơn so với hầu hết các cuộc thi kiểm tra, cung cấp mức phí rẻ hơn 20% và kết nối các nhà phát triển với một cộng đồng nghiên cứu bảo mật rộng hơn và có trình độ cao hơn.
Một tính năng đáng chú ý khác là bảng xếp hạng, cho phép người tham gia theo dõi hiệu suất của họ và so sánh bản thân. Hơn nữa, các nhà phát triển vẫn có thể nhận được phần thưởng ngay cả khi một nhà nghiên cứu khác phát hiện ra lỗi trước. Giải thưởng được chia sẻ cho tất cả những người có thể xác định cùng một vấn đề, do đó giảm bớt áp lực phải vội vàng và thúc đẩy tinh thần đồng đội.
Nguồn: medium
ImmunefiWhitehat Awardsđược thiết kế để tôn vinh những nỗ lực xuất sắc của whitehats, người đã đóng vai trò quan trọng trong việc nâng cao bảo mật Web3. Những giải thưởng này công nhận cá nhân đã báo cáo trách nhiệm về lỗ hổng bảo mật và cung cấp các hình thức công nhận khác nhau, như NFTs kỹ thuật số và hàng hóa sang trọng.
Các giải thưởng được xây dựng theo cấu trúc phân cấp, khuyến khích các hacker đạt được các mục tiêu cụ thể, như gửi báo cáo đủ điều kiện để thanh toán hoặc đạt được ngưỡng tiền thưởng nhất định. Hiện tại, các cấp độ được chia thành Cấp độ Khởi động, dành cho các nhà trắng đã kiếm được hơn 50.000 đô la trên ImmuneFi, và Cấp độ Vô địch, dành cho những người đã kiếm được hơn 100.000 đô la. Tuy nhiên, dự kiến sẽ có nhiều cấp độ hơn, chẳng hạn như Cấp độ Thạc sĩ (hơn 1 triệu đô la trong thu nhập) và Cấp độ Đại sư (hơn 10 triệu đô la trong thu nhập), sẽ được thông báo sớm.
Nguồn:immunefi
Bảng danh dự Whitehat là một bộ sưu tập NFT dành cho những white hat được ca ngợi nhất thế giới. Những người nắm giữ thẻ Bảng danh dự này được coi là những hacker tài năng và quan trọng nhất thế giới. Họ nhận được NFT được thiết kế theo yêu cầu để vĩnh cửu hóa những đóng góp của họ cho an ninh Web3.
Mỗi NFT là duy nhất và được tạo ra đặc biệt cho mỗi báo cáo lỗi đáng kể và thành công. Người nắm giữ có thể giữ nó miễn phí hoặc bán cho những người sưu tập quan tâm đến việc kỷ niệm những khoảnh khắc lịch sử trong an ninh Web3.
Nguồn:immunefi
ImmuneFiChương trình chỉ mờiđược thiết kế để chỉ chọn những nhà nghiên cứu có trình độ cao nhất cho các dự án bug bounty cụ thể. Quá trình lựa chọn này xem xét các yêu cầu kỹ thuật và hệ sinh thái của từng dự án, đảm bảo rằng chuyên môn của nhà nghiên cứu phù hợp với nhu cầu của dự án để thực hiện kiểm tra hiệu quả hoặc tham gia bug bounty.
Tính năng chính của chương trình này là cam kết duy trì quyền riêng tư và bảo mật. Các nhóm dự án có thể tinh chỉnh giao thức của họ để bao gồm các thỏa thuận cụ thể về bảo mật, kiểm soát quyền nhìn thấy tài sản, và sở thích liên quan đến việc công bố kết quả. Điều này đảm bảo rằng mọi thông tin nhạy cảm được xử lý một cách an toàn, cho phép các dự án làm việc với các chuyên gia an ninh hàng đầu trong khi duy trì các tiêu chuẩn quyền riêng tư của họ.
Bằng cách tập trung vào các lỗ hổng nghiêm trọng và các vấn đề bảo mật quan trọng, Chương trình Chỉ dành cho Người được mời giảm thiểu hiệu quả khung thời gian mà các mối đe dọa tiềm ẩn có thể xuất hiện. Điều này dẫn đến việc phát hiện và giải quyết các mối quan tâm về bảo mật nhanh hơn, cuối cùng tăng cường bảo mật tổng thể của dự án blockchain.
Nguồn: immunefi
Các két ImmuneFi được thiết kế để tăng tính minh bạch và niềm tin giữa whitehats và chủ dự án bằng cách giúp họ quản lý tài sản và thanh toán săn lỗi một cách an toàn. Các dự án có thể nạp và rút tiền từ két của họ, và số dư được phân bổ cho tiền thưởng được hiển thị cho whitehats. Mức độ minh bạch này giúp xây dựng niềm tin, khi whitehats sẽ được khuyến khích nộp báo cáo lỗi hàng đầu vì họ tự tin rằng dự án có đủ tiền để trả tiền cho các lỗi.
Các dự án có thể thiết lập kho tiền của họ trong vòng chưa đầy 10 phút. Sau khi xác minh báo cáo lỗi hợp lệ, các khoản thanh toán được phát hành trực tiếp từ kho tiền của dự án, giúp các giao dịch trở nên liền mạch và an toàn. Hệ thống này cũng bao gồm các tính năng như xác minh ví để ngăn ngừa lỗi hoặc thanh toán sai.
Các Kho hiện đang có sẵn trên Ethereum và Optimism, và dự kiến sẽ mở rộng sang các chuỗi EVM khác như Polygon, Gnosis Chain và Arbitrum. Các dự án có thể gửi stablecoin, ETH và bất kỳ tài sản nào khác trên danh sách token của Uniswap. Họ cũng có thể trả thưởng bằng một hoặc nhiều tài sản trong một giao dịch duy nhất.
Nguồn:immunefi
ImmuneFi Safe Harbor là một khung pháp lý được tạo ra bởi Liên minh An ninh (SEAL) để cho phép mũ trắng bảo vệ quỹ của dự án khi nó bị tấn công từ mũ đen hoặc các tác nhân độc hại. Khung này cho phép họ thu hồi các khoản tiền có nguy cơ trong các cuộc tấn công như vậy và chuyển hướng an toàn các khoản tiền đó trở lại Vault được chỉ định do Immunefi quản lý. Đổi lại, các nhà nghiên cứu này có thể kiếm được tới 60% phần thưởng quan trọng tối đa có sẵn cho dự án.
Immunefi cũng tích hợp Safe Harbor vào các chương trình săn lỗi nhận tiền thưởng hiện có. Safe Harbor cũng sử dụng bảng điều khiển báo cáo lỗi hiện có, vì vậy các dự án có thể sử dụng cùng hệ thống cảnh báo khẩn cấp và nhân viên an ninh mà họ cảm thấy thoải mái. Do đó, Safe Harbor hoạt động như một phần mở rộng của các chương trình săn lỗi nhận tiền thưởng của ImmuneFi.
Các lỗ hổng tái tấn công xảy ra khi một hợp đồng thông minh có thể được gọi nhiều lần trước khi thực hiện lần đầu tiên được hoàn thành. Điều này cho phép kẻ tấn công chèn mã độc liên tục gọi cùng một hợp đồng, rút tiền hoặc thay đổi trạng thái của nó. Một ví dụ nổi tiếng là vụ hack DAO năm 2016, nhắm vào mạng Ethereum ban đầu. Để tránh các vấn đề về khả năng khôi phục, các nhà phát triển có thể sử dụng tính năng bảo vệ truy cập lại để ngăn chặn nhiều cuộc gọi trong một hoạt động.
Các bộ lập chỉ mức giá cung cấp dữ liệu thị trường quan trọng, như giá token, cho các hợp đồng thông minh. Do đó, sự can thiệp của bộ lập chỉ liên quan đến việc kẻ tấn công lợi dụng các dữ liệu này để cung cấp thông tin sai lệch, dẫn đến tính toán giá không chính xác. Ví dụ, làm giả bộ lập chỉ cho phép kẻ tấn công làm tăng giá token và lợi nhuận trong quá trình giao dịch. Để ngăn chặn điều này, các nhà phát triển sử dụng các bộ lập chỉ phi tập trung thu thập dữ liệu từ nhiều nguồn khác nhau.
Hầu hết các hệ thống áp dụng các biện pháp kiểm soát truy cập nghiêm ngặt, chẳng hạn như quyền dựa trên vai trò và xác thực mạnh mẽ, để bảo vệ chống lại truy cập trái phép. Các kiểm soát này đảm bảo rằng người dùng và quy trình chỉ được cấp quyền cần thiết cho vai trò cụ thể của họ. Ghi lại khả năng và hạn chế của từng vai trò giúp xác định các lỗ hổng tiềm ẩn, cho phép kiểm tra đơn vị và giải quyết xung đột hiệu quả hơn. Quá trình này giúp đảm bảo hệ thống hoạt động như dự định, giảm nguy cơ lỗ hổng nghiêm trọng do sơ suất hoặc cấu hình sai.
Ngoài ra, điều cần thiết là giới hạn quyền hạn của từng vai trò. Cấp quyền quá mức hoặc phụ thuộc quá nhiều vào kiểm soát tập trung có thể gây ra thiệt hại đáng kể nếu tài khoản hoặc khóa riêng bị xâm phạm. Chia nhỏ vai trò thành các phân đoạn nhỏ hơn sẽ làm giảm tác động của các vi phạm đó, tăng cường sự ổn định của hệ thống.
Frontrunning xảy ra khi kẻ tấn công lợi dụng tính công khai của giao dịch blockchain. Kẻ tấn công quan sát các giao dịch đang chờ xử lý trong mempool (một khu vực tạm thời để lưu trữ các giao dịch chưa được thực hiện trên blockchain), sau đó đặt giao dịch của họ với phí gas cao hơn để thực hiện trước giao dịch của nạn nhân. Điều này đặc biệt phổ biến trong các sàn giao dịch phi tập trung, nơi thời gian có thể ảnh hưởng đến kết quả giao dịch.
Các hợp đồng proxy chưa khởi tạo xảy ra khi các biến lưu trữ trong một hợp đồng proxy không được cấu hình đúng trước khi sử dụng. Thiếu cấu hình đúng có thể dẫn đến rủi ro bảo mật vì các biến chưa được khởi tạo này có thể chứa dữ liệu quan trọng hoặc ảnh hưởng đến các chức năng quan trọng của hợp đồng. Hacker xấu có thể khai thác các lỗ hổng này, thao túng các biến chưa được khởi tạo để truy cập trái phép.
Trong số tháng 10 năm 2024 của nó báo cáo về tổn thất trong tiền điện tử, ImmuneFi chia sẻ một số thống kê thú vị về những tổn thất mà cộng đồng tiền điện tử đã phải đối mặt trong năm nay. Theo báo cáo, cộng đồng tiền điện tử đã mất tới $1,400,073,177 do hack và rug pull tính đến tháng 10 năm 2024 thông qua 179 vụ việc. Điều này là một sự giảm 1% so với tháng 10 năm 2023, khi tổn thất lên đến $1,414,641,935.
Tháng 10 năm 2024, cộng đồng tiền điện tử đã gặp tổn thất lên tới 55.138.600 đô la do các vụ hack xảy ra trong bảy sự cố, không có báo cáo gian lận nào. Đây là một tăng trưởng 114% so với tháng 10 năm 2023 nhưng giảm 56,6% so với tháng 9 năm 2024. Tổn thất quan trọng nhất đến từ Radiant Capital (50 triệu đô la) và Tapioca DAO (4,4 triệu đô la). DeFi là ngành duy nhất bị ảnh hưởng, với BNB Chain là mục tiêu chính, chiếm 50% tổng số tổn thất. ImmuneFi đã trả hơn 100 triệu đô la tiền thưởng và tiết kiệm hơn 25 tỷ đô la trong quỹ người dùng.
ImmuneFi đã xây dựng uy tín là chương trình săn lỗi dẫn đầu trong ngành công nghiệp tiền điện tử. Nó cung cấp các chương trình săn lỗi phạm vi chung và các giải pháp cá nhân như chương trình Mời Chọn Lựa. ImmuneFi là điểm gặp gỡ của các hacker trắng và chủ dự án, giúp các dự án duy trì an toàn. Do đó, với chuyên môn về bảo mật và cách tiếp cận linh hoạt, ImmuneFi giúp các dự án xây dựng hệ sinh thái an toàn hơn.
Ngành công nghiệp blockchain không lạ gì với các cuộc tấn công, chủ yếu vì nó lưu trữ và bảo vệ hàng tỷ tài sản kỹ thuật số. Hơn 55 triệu đô la đã bị mất chỉ trong tháng 10 vì các cuộc tấn công vào các dự án như Radiant Capital và Morpho Labs. Những cuộc tấn công này nhắm vào lỗi trong mã nguồn gốc của dự án, tìm kiếm lỗ hổng và cửa sau để xâm nhập.
Nhận thức được nhu cầu của một giải pháp phi tập trung để giảm thiểu điều này, Mitchell Amador đã thành lập ImmuneFi để bảo vệ các dự án blockchain khỏi các lỗi có thể gây ra vấn đề, dù nhỏ đến đâu. Do đó, chúng ta cần hiểu ImmuneFi làm gì và làm thế nào nó có lợi cho cộng đồng blockchain.
Nguồn:immunefi
Immunefi là một nền tảng bảo mật bảo vệ các dự án Web3 bằng cách xác định và khắc phục lỗi trong hệ thống blockchain, hợp đồng thông minh và ứng dụng phi tập trung (dApps). Lỗi đơn giản là nhược điểm hoặc lỗ hổng trong mã nguồn của hệ thống. Về cơ bản, ImmuneFi khuyến khích các hacker trắng đạo (white hat) tìm và báo cáo lỗi và thưởng họ dựa trên mức độ nghiêm trọng của lỗ hổng.
Bên cạnh dịch vụ săn lỗi nhận tiền thưởng, Immunefi cung cấp các công cụ khác nhau để nâng cao an ninh blockchain. Những công cụ này bao gồm việc lưu trữ mạng, quản lý quá trình xử lý báo cáo lỗi và giám sát toàn bộ chương trình an ninh cho các dự án khác nhau. Dịch vụ hợp đồng thông minh của họ đặc biệt hữu ích cho việc tiến hành kiểm tra mã và phát hiện lỗ hổng, giúp bảo vệ khỏi các tác nhân độc hại. Immunefi cũng tự hào sở hữu một hệ sinh thái với hơn 35.000 nhà nghiên cứu an ninh, trong đó có hơn 1.000 người đã phát hiện ra các lỗi nghiêm trọng trên mainnet.
ImmuneFi được thành lập bởi Mitchell Amador, người đã ra mắt nền tảng vào ngày 9 tháng 12 năm 2020. Ý tưởng về ImmuneFi đã nảy ra với Amador trong một chuyến đi bộ đường dài ở dãy Alps của Thụy Sĩ vào đầu năm 2020, khi anh phát hiện ra rằng một dự án tiền điện tử khác đã trở thành nạn nhân của một sự cố hack. Sự cố này nhấn mạnh nhu cầu cấp thiết về cải thiện bảo mật trong không gian DeFi và Web3, vì không có giải pháp hiện có nào giải quyết được các lỗ hổng này.
Nhận ra rằng tài năng để giải quyết vấn đề này có trong cộng đồng, Amador nhận ra rằng cần có một nền tảng thống nhất để khuyến khích hacker giúp bảo vệ các dự án. Điều này đã dẫn đến việc tạo ra Immunefi, một nền tảng săn lỗi nhận tiền thưởng dành riêng cho việc nâng cao bảo mật của các ứng dụng Web3.
Kể từ khi thành lập, ImmuneFi đã tạo dựng được danh tiếng mạnh mẽ, hợp tác với các dự án nổi bật như Synthetix, TheGraph, Polygon, MakerDAO, Nexus Mutual, SushiSwap, Vesper Finance, Mạng Bancor, và Chainlink. Hôm nay, ImmuneFi là nền tảng săn lỗi nhận tiền thưởng hàng đầu trong Web3, phục vụ hơn 330 dự án.
Tác động của ImmuneFi đã rất lớn, với nền tảng được cho là dẫn đầu,tiết kiệm hơn 25 tỷ đô laHiện tại, sàn giao dịch đóng một vai trò quan trọng trong việc bảo vệ hơn 190 tỷ đô la tài sản của người dùng, gia tăng tầm quan trọng của bảo mật cộng đồng trong thế giới tiền điện tử đang ngày càng phát triển. Sàn đang bảo vệ tài khoản người dùng khỏi các cuộc tấn công tiềm năng và trả hơn 100 triệu đô la tiền thưởng cho các nhà sáng lập.
ImmuneFi vận hành một hệ thống săn lỗi nhận tiền thưởng minh bạch được hỗ trợ bởi một cơ chế đồng thuận bằng bằng chứng thực nghiệm. Một bằng chứng thực nghiệm là một mã code cơ bản, chức năng được viết bởi một hacker trắng nhằm làm nổi bật những lỗ hổng trong một hợp đồng thông minh hoặc hệ thống blockchain. Nó được tạo ra để chỉ ra cách những lỗ hổng đó có thể được khai thác mà không gây ra vấn đề nào trong môi trường thực tế. Do đó, chúng phục vụ như cách tiêu chuẩn để cung cấp bằng chứng về tác động tiềm năng của một lỗi đối với một dự án. Chúng cũng được yêu cầu bởi hầu hết tất cả các chương trình săn lỗi nhận tiền thưởng trên ImmuneFi.
Các hoạt động của ImmuneFi phục vụ cả những hacker whitehat và chủ dự án. Whitehats là những hacker đạo đức nhận dạng và giải quyết các lỗ hổng trong hệ thống và phần mềm trước khi những kẻ tấn công độc hại có thể lợi dụng chúng. Những kẻ tấn công độc hại đó được gọi là blackhats, và trong khi họ tham gia vào các hoạt động bất hợp pháp vì lợi ích cá nhân, whitehats hoạt động trong ranh giới pháp lý và thường hợp tác với các tổ chức để nâng cao sự an toàn của họ.
Một mặt, tin tặc mũ trắng (các chuyên gia an ninh mạng xác định và sửa chữa các lỗ hổng hệ thống) khám phá một loạt các khoản tiền thưởng lỗi trị giá hơn 162 triệu đô la từ các dự án có uy tín trong không gian Web3. Khi họ tìm thấy một chương trình phù hợp với bộ kỹ năng của họ, người tham gia có thể xem xét các yêu cầu tiền thưởng và kiểm tra mã cụ thể đủ điều kiện để xem xét. Tuy nhiên, chỉ những lỗi được phát hiện trong mã được chỉ định trong phạm vi tiền thưởng mới được thưởng.
Sau khi tìm thấy lỗi, hacker whitehat phải tạo tài khoản và gửi lỗi qua Nền tảng săn lỗi ImmuneFi. Ngay khi nhóm ImmuneFi xác nhận tính hợp lệ của lỗi, họ sẽ cùng hợp tác với thợ săn tiền thưởng và khách hàng để giải quyết vấn đề, sau đó sẽ tiến hành thanh toán.
Trên phía chủ dự án, họ sẽ phải điền mẫu dẫn đầu săn lỗi nhận tiền thưởng, sau đó họ sẽ nhận được một bảng câu hỏi. ImmuneFi sau đó sẽ sử dụng câu trả lời vào bảng câu hỏi để soạn thảo chương trình săn lỗi nhận tiền thưởng. Sau đó, dự án gửi bản nháp săn lỗi nhận tiền thưởng cho khách hàng xem xét. Nếu mọi thứ đều tốt, tiền thưởng sẽ được giao cho chuyên gia phát triển, người sẽ làm việc với nhóm tiếp thị của khách hàng để quyết định thời gian ra mắt tốt nhất và các chi tiết tiếp thị khác.
Là dịch vụ khách hàng, ImmuneFi viết đánh giá bugfix cho các lỗ hổng để nhắc nhở cộng đồng tiền điện tử lớn hơn về cam kết bảo mật của dự án. Họ cũng cung cấp hỗ trợ PR và tư vấn về cách truyền đạt hiệu quả các lỗ hổng vá.
ImmuneFi cũng sử dụng một hệ thống phân loại mức độ nghiêm trọngđể quản lý báo cáo lỗi một cách hiệu quả. Hệ thống này phân loại các lỗ hổng dựa trên tiềm năng ảnh hưởng đến quỹ người dùng, chức năng mạng và tổng thể an ninh giao thức. Mỗi dự án trong mạng lưới ImmuneFi được gán một cấp độ nghiêm trọng, được tìm thấy trong phần “Phần Thưởng theo Mức Độ Đe Dọa” trên trang chương trình săn lỗi của dự án.
Phiên bản mới nhất của Hệ thống Phân loại Mức độ Nghiêm trọng của Lỗ hổng của Immunefi (v2.3)sử dụng một thang bốn cấp: Critical, High, Medium và Low. Các lỗ hổng Critical có thể dẫn đầu đến hậu quả nghiêm trọng, như tắt mạng toàn bộ hoặc mất số tiền quan trọng, trong khi các hạng mục thấp hơn tập trung vào các vấn đề ít nghiêm trọng hơn, như lỗi nhỏ trong các hợp đồng thông minh.
Hệ thống cũng phác thảo các lĩnh vực được coi là ngoài phạm vi, bao gồm các lỗ hổng trong các tệp thử nghiệm, các cuộc tấn công liên quan đến quản trị và rủi ro kinh tế bên ngoài thẩm quyền của ImmuneFi. Khung này giúp các nhà phát triển tăng cường bảo mật dự án của họ bằng cách cung cấp các hướng dẫn tiêu chuẩn để phân loại và giải quyết các lỗ hổng. Nó cũng chỉ định tất cả các hành vi bị cấm trong các chương trình tiền thưởng lỗi để đảm bảo thực hành kiểm tra bảo mật có đạo đức và an toàn.
ImmuneFi là nơi chứa đựng một số tính năng thú vị, bao gồm:
Nguồn:immunefi
Các Hồ sơ ImmuneFigiúp những người bảo mật trắng trưng bày thành tựu của họ cho thế giới, bao gồm các lỗ hổng họ đã báo cáo, thu nhập của họ, các huy hiệu và giải thưởng họ đã đạt được, và xếp hạng của họ trên bảng xếp hạng ImmuneFi.
Trong khi vẫn là phiên bản đầu tiên, hồ sơ sẽ được cung cấp cho tất cả các hacker trắng có ít nhất một báo cáo trả phí trên ImmuneFi. Tuy nhiên, trong các bản cập nhật sắp tới, cộng đồng nghiên cứu toàn bộ có thể truy cập vào Hồ sơ. Phiên bản mới cũng sẽ bao gồm các tính năng mới, như Mục cống hiến, hiển thị báo cáo theo thời gian để người dùng có thể theo dõi tác động của mình.
ImmuneFi có sáu huy hiệu sẽ được gắn vào hồ sơ của người tham gia. Các huy hiệu này bao gồm:
Các huy hiệu, thẻ tăng cường và thành tựu sẽ được thêm vào trong các bản cập nhật sau này.
Nguồn:immunefi
Một Cuộc thi Kiểm toánLà một cuộc xem xét mã theo thời gian với một hồ bơi phần thưởng chỉ định cho whitehats. Trong suốt các sự kiện này, các hacker đạo đức báo cáo các lỗ hổng bảo mật và phần thưởng được phân bổ dựa trên tác động và mức độ nghiêm trọng của các khám phá của họ, theo hệ thống xếp hạng của Immunefi.
Immunefi hợp tác với mỗi dự án blockchain để tùy chỉnh cuộc thi, bao gồm quyết định kích thước phần thưởng và thời gian diễn ra sự kiện và cung cấp sự trợ giúp marketing chuyên gia để thu hút các nhà nghiên cứu tài năng.
Sau khi cuộc thi kết thúc, các thành viên sẽ được thưởng vì đóng góp của họ, và các dự án sẽ nhận được một báo cáo tổng hợp chi tiết mô tả những phát hiện và thông tin quan trọng thu được trong suốt sự kiện.
Các nhà phát triển có thể tổ chức cuộc thi kiểm tra trong vòng vài ngày và nhận được cập nhật thời gian thực trong quá trình diễn ra cuộc thi. Ngoài ra, chúng cũng tiết kiệm hơn so với hầu hết các cuộc thi kiểm tra, cung cấp mức phí rẻ hơn 20% và kết nối các nhà phát triển với một cộng đồng nghiên cứu bảo mật rộng hơn và có trình độ cao hơn.
Một tính năng đáng chú ý khác là bảng xếp hạng, cho phép người tham gia theo dõi hiệu suất của họ và so sánh bản thân. Hơn nữa, các nhà phát triển vẫn có thể nhận được phần thưởng ngay cả khi một nhà nghiên cứu khác phát hiện ra lỗi trước. Giải thưởng được chia sẻ cho tất cả những người có thể xác định cùng một vấn đề, do đó giảm bớt áp lực phải vội vàng và thúc đẩy tinh thần đồng đội.
Nguồn: medium
ImmunefiWhitehat Awardsđược thiết kế để tôn vinh những nỗ lực xuất sắc của whitehats, người đã đóng vai trò quan trọng trong việc nâng cao bảo mật Web3. Những giải thưởng này công nhận cá nhân đã báo cáo trách nhiệm về lỗ hổng bảo mật và cung cấp các hình thức công nhận khác nhau, như NFTs kỹ thuật số và hàng hóa sang trọng.
Các giải thưởng được xây dựng theo cấu trúc phân cấp, khuyến khích các hacker đạt được các mục tiêu cụ thể, như gửi báo cáo đủ điều kiện để thanh toán hoặc đạt được ngưỡng tiền thưởng nhất định. Hiện tại, các cấp độ được chia thành Cấp độ Khởi động, dành cho các nhà trắng đã kiếm được hơn 50.000 đô la trên ImmuneFi, và Cấp độ Vô địch, dành cho những người đã kiếm được hơn 100.000 đô la. Tuy nhiên, dự kiến sẽ có nhiều cấp độ hơn, chẳng hạn như Cấp độ Thạc sĩ (hơn 1 triệu đô la trong thu nhập) và Cấp độ Đại sư (hơn 10 triệu đô la trong thu nhập), sẽ được thông báo sớm.
Nguồn:immunefi
Bảng danh dự Whitehat là một bộ sưu tập NFT dành cho những white hat được ca ngợi nhất thế giới. Những người nắm giữ thẻ Bảng danh dự này được coi là những hacker tài năng và quan trọng nhất thế giới. Họ nhận được NFT được thiết kế theo yêu cầu để vĩnh cửu hóa những đóng góp của họ cho an ninh Web3.
Mỗi NFT là duy nhất và được tạo ra đặc biệt cho mỗi báo cáo lỗi đáng kể và thành công. Người nắm giữ có thể giữ nó miễn phí hoặc bán cho những người sưu tập quan tâm đến việc kỷ niệm những khoảnh khắc lịch sử trong an ninh Web3.
Nguồn:immunefi
ImmuneFiChương trình chỉ mờiđược thiết kế để chỉ chọn những nhà nghiên cứu có trình độ cao nhất cho các dự án bug bounty cụ thể. Quá trình lựa chọn này xem xét các yêu cầu kỹ thuật và hệ sinh thái của từng dự án, đảm bảo rằng chuyên môn của nhà nghiên cứu phù hợp với nhu cầu của dự án để thực hiện kiểm tra hiệu quả hoặc tham gia bug bounty.
Tính năng chính của chương trình này là cam kết duy trì quyền riêng tư và bảo mật. Các nhóm dự án có thể tinh chỉnh giao thức của họ để bao gồm các thỏa thuận cụ thể về bảo mật, kiểm soát quyền nhìn thấy tài sản, và sở thích liên quan đến việc công bố kết quả. Điều này đảm bảo rằng mọi thông tin nhạy cảm được xử lý một cách an toàn, cho phép các dự án làm việc với các chuyên gia an ninh hàng đầu trong khi duy trì các tiêu chuẩn quyền riêng tư của họ.
Bằng cách tập trung vào các lỗ hổng nghiêm trọng và các vấn đề bảo mật quan trọng, Chương trình Chỉ dành cho Người được mời giảm thiểu hiệu quả khung thời gian mà các mối đe dọa tiềm ẩn có thể xuất hiện. Điều này dẫn đến việc phát hiện và giải quyết các mối quan tâm về bảo mật nhanh hơn, cuối cùng tăng cường bảo mật tổng thể của dự án blockchain.
Nguồn: immunefi
Các két ImmuneFi được thiết kế để tăng tính minh bạch và niềm tin giữa whitehats và chủ dự án bằng cách giúp họ quản lý tài sản và thanh toán săn lỗi một cách an toàn. Các dự án có thể nạp và rút tiền từ két của họ, và số dư được phân bổ cho tiền thưởng được hiển thị cho whitehats. Mức độ minh bạch này giúp xây dựng niềm tin, khi whitehats sẽ được khuyến khích nộp báo cáo lỗi hàng đầu vì họ tự tin rằng dự án có đủ tiền để trả tiền cho các lỗi.
Các dự án có thể thiết lập kho tiền của họ trong vòng chưa đầy 10 phút. Sau khi xác minh báo cáo lỗi hợp lệ, các khoản thanh toán được phát hành trực tiếp từ kho tiền của dự án, giúp các giao dịch trở nên liền mạch và an toàn. Hệ thống này cũng bao gồm các tính năng như xác minh ví để ngăn ngừa lỗi hoặc thanh toán sai.
Các Kho hiện đang có sẵn trên Ethereum và Optimism, và dự kiến sẽ mở rộng sang các chuỗi EVM khác như Polygon, Gnosis Chain và Arbitrum. Các dự án có thể gửi stablecoin, ETH và bất kỳ tài sản nào khác trên danh sách token của Uniswap. Họ cũng có thể trả thưởng bằng một hoặc nhiều tài sản trong một giao dịch duy nhất.
Nguồn:immunefi
ImmuneFi Safe Harbor là một khung pháp lý được tạo ra bởi Liên minh An ninh (SEAL) để cho phép mũ trắng bảo vệ quỹ của dự án khi nó bị tấn công từ mũ đen hoặc các tác nhân độc hại. Khung này cho phép họ thu hồi các khoản tiền có nguy cơ trong các cuộc tấn công như vậy và chuyển hướng an toàn các khoản tiền đó trở lại Vault được chỉ định do Immunefi quản lý. Đổi lại, các nhà nghiên cứu này có thể kiếm được tới 60% phần thưởng quan trọng tối đa có sẵn cho dự án.
Immunefi cũng tích hợp Safe Harbor vào các chương trình săn lỗi nhận tiền thưởng hiện có. Safe Harbor cũng sử dụng bảng điều khiển báo cáo lỗi hiện có, vì vậy các dự án có thể sử dụng cùng hệ thống cảnh báo khẩn cấp và nhân viên an ninh mà họ cảm thấy thoải mái. Do đó, Safe Harbor hoạt động như một phần mở rộng của các chương trình săn lỗi nhận tiền thưởng của ImmuneFi.
Các lỗ hổng tái tấn công xảy ra khi một hợp đồng thông minh có thể được gọi nhiều lần trước khi thực hiện lần đầu tiên được hoàn thành. Điều này cho phép kẻ tấn công chèn mã độc liên tục gọi cùng một hợp đồng, rút tiền hoặc thay đổi trạng thái của nó. Một ví dụ nổi tiếng là vụ hack DAO năm 2016, nhắm vào mạng Ethereum ban đầu. Để tránh các vấn đề về khả năng khôi phục, các nhà phát triển có thể sử dụng tính năng bảo vệ truy cập lại để ngăn chặn nhiều cuộc gọi trong một hoạt động.
Các bộ lập chỉ mức giá cung cấp dữ liệu thị trường quan trọng, như giá token, cho các hợp đồng thông minh. Do đó, sự can thiệp của bộ lập chỉ liên quan đến việc kẻ tấn công lợi dụng các dữ liệu này để cung cấp thông tin sai lệch, dẫn đến tính toán giá không chính xác. Ví dụ, làm giả bộ lập chỉ cho phép kẻ tấn công làm tăng giá token và lợi nhuận trong quá trình giao dịch. Để ngăn chặn điều này, các nhà phát triển sử dụng các bộ lập chỉ phi tập trung thu thập dữ liệu từ nhiều nguồn khác nhau.
Hầu hết các hệ thống áp dụng các biện pháp kiểm soát truy cập nghiêm ngặt, chẳng hạn như quyền dựa trên vai trò và xác thực mạnh mẽ, để bảo vệ chống lại truy cập trái phép. Các kiểm soát này đảm bảo rằng người dùng và quy trình chỉ được cấp quyền cần thiết cho vai trò cụ thể của họ. Ghi lại khả năng và hạn chế của từng vai trò giúp xác định các lỗ hổng tiềm ẩn, cho phép kiểm tra đơn vị và giải quyết xung đột hiệu quả hơn. Quá trình này giúp đảm bảo hệ thống hoạt động như dự định, giảm nguy cơ lỗ hổng nghiêm trọng do sơ suất hoặc cấu hình sai.
Ngoài ra, điều cần thiết là giới hạn quyền hạn của từng vai trò. Cấp quyền quá mức hoặc phụ thuộc quá nhiều vào kiểm soát tập trung có thể gây ra thiệt hại đáng kể nếu tài khoản hoặc khóa riêng bị xâm phạm. Chia nhỏ vai trò thành các phân đoạn nhỏ hơn sẽ làm giảm tác động của các vi phạm đó, tăng cường sự ổn định của hệ thống.
Frontrunning xảy ra khi kẻ tấn công lợi dụng tính công khai của giao dịch blockchain. Kẻ tấn công quan sát các giao dịch đang chờ xử lý trong mempool (một khu vực tạm thời để lưu trữ các giao dịch chưa được thực hiện trên blockchain), sau đó đặt giao dịch của họ với phí gas cao hơn để thực hiện trước giao dịch của nạn nhân. Điều này đặc biệt phổ biến trong các sàn giao dịch phi tập trung, nơi thời gian có thể ảnh hưởng đến kết quả giao dịch.
Các hợp đồng proxy chưa khởi tạo xảy ra khi các biến lưu trữ trong một hợp đồng proxy không được cấu hình đúng trước khi sử dụng. Thiếu cấu hình đúng có thể dẫn đến rủi ro bảo mật vì các biến chưa được khởi tạo này có thể chứa dữ liệu quan trọng hoặc ảnh hưởng đến các chức năng quan trọng của hợp đồng. Hacker xấu có thể khai thác các lỗ hổng này, thao túng các biến chưa được khởi tạo để truy cập trái phép.
Trong số tháng 10 năm 2024 của nó báo cáo về tổn thất trong tiền điện tử, ImmuneFi chia sẻ một số thống kê thú vị về những tổn thất mà cộng đồng tiền điện tử đã phải đối mặt trong năm nay. Theo báo cáo, cộng đồng tiền điện tử đã mất tới $1,400,073,177 do hack và rug pull tính đến tháng 10 năm 2024 thông qua 179 vụ việc. Điều này là một sự giảm 1% so với tháng 10 năm 2023, khi tổn thất lên đến $1,414,641,935.
Tháng 10 năm 2024, cộng đồng tiền điện tử đã gặp tổn thất lên tới 55.138.600 đô la do các vụ hack xảy ra trong bảy sự cố, không có báo cáo gian lận nào. Đây là một tăng trưởng 114% so với tháng 10 năm 2023 nhưng giảm 56,6% so với tháng 9 năm 2024. Tổn thất quan trọng nhất đến từ Radiant Capital (50 triệu đô la) và Tapioca DAO (4,4 triệu đô la). DeFi là ngành duy nhất bị ảnh hưởng, với BNB Chain là mục tiêu chính, chiếm 50% tổng số tổn thất. ImmuneFi đã trả hơn 100 triệu đô la tiền thưởng và tiết kiệm hơn 25 tỷ đô la trong quỹ người dùng.
ImmuneFi đã xây dựng uy tín là chương trình săn lỗi dẫn đầu trong ngành công nghiệp tiền điện tử. Nó cung cấp các chương trình săn lỗi phạm vi chung và các giải pháp cá nhân như chương trình Mời Chọn Lựa. ImmuneFi là điểm gặp gỡ của các hacker trắng và chủ dự án, giúp các dự án duy trì an toàn. Do đó, với chuyên môn về bảo mật và cách tiếp cận linh hoạt, ImmuneFi giúp các dự án xây dựng hệ sinh thái an toàn hơn.