---
title: "Крипто-баунті: як отримувати виплати за злом блокчейну"
description: "До блокчейну були Netscape, Google і Heartbleed. Тепер є Immunefi, десятимільйонні виплати та смартконтракти, що чекають на детальний аналіз."
language: uk
published: 2026-05-02
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/crypto-bug-bounties-getting-paid-for-hacking-blockchain?lang=uk
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# Крипто-баунті: як отримувати виплати за злом блокчейну

До блокчейну були Netscape, Google і Heartbleed. Тепер є Immunefi, десятимільйонні виплати та смартконтракти, що чекають на детальний аналіз.

Стереотип, викликаний словом «хакер», напрочуд стійкий: молодий хлопець у чорному худі, що похмуро дивиться на екран у тьмяно освітленій кімнаті, викрадаючи паролі людей, які занадто довіряли інтернету. Цей образ зберігався десятиліттями реальної культури безпеки, тому що це зручний спосіб перетворити щось складне на лиходія — а лиходії завжди корисні. Про що зазвичай чути менше, так це про те, що деякі з найкращих хакерів перебувають по інший бік цієї транзакції, знаходячи діри раніше за шахраїв (і отримуючи гроші за свої зусилля). Ця практика має назву, інституційну пам'ять і професійну структуру, що зародилися за кілька десятиліть до появи блокчейну.

Перша сучасна організована програма bug bounty була запущена 10 жовтня 1995 року компанією Netscape. Компанія працювала над Navigator 2.0, своїм провідним на той час браузером, і зробила публічний заклик: знайдіть уразливість у системі безпеки, відповідально повідомте про неї компанії та отримайте гроші за свої зусилля. Хоча бюджет був невеликим за сьогоднішніми мірками — $50 000, розподілених на всю програму, — сама ідея була справді оригінальною. Netscape фактично публічно визнала, що її програмне забезпечення містить уразливості, які вона не може виявити всередині компанії, і що зовнішні спеціалісти можуть мати більше можливостей для їхнього виявлення. Більше, ніж гроші, важило те, що означало це неявне визнання.

Протягом 2000-х років це розвивалося повільно й прискорилося, коли долучилися великі платформи. У 2010 році Google анонсувала свою програму Vulnerability Reward Program, яка лише на сьогодні виплатила б понад $12 000 000 дослідникам, а загалом на сьогодні — понад $50 000 000. Лише у 2013 році Microsoft наслідувала цю тенденцію з офіційною програмою, а Apple, яка довго опиралася цій ідеї, нарешті відкрила власну публічну програму у 2020 році. До середини 2010-х років програми bug bounty стали звичною справою для будь-якої технологічної компанії, яка серйозно ставиться до своєї безпеки, при цьому з'явилися такі сервіси, як HackerOne і Bugcrowd, щоб спростити масштабування програм, об'єднуючи компанії з незалежними дослідниками безпеки, які шукають уразливості на повний робочий день.

![Крипто-баунті: як отримувати виплати за злом блокчейну](https://netts.io/blog/images/body/f8770db0743a5bea71507f3118986e90b7237f3c-1031.webp)

Однак не всі важливі відкриття у сфері безпеки відбувалися в межах формальних баунті-програм, і деякі з найбільш показових випадків продемонстрували, що може статися без них. Ще у 2014 році дві команди — Ніл Мехта з Google і команда фінської фірми Codenomicon — незалежно одна від одної виявили серйозну ваду в OpenSSL, криптографічній бібліотеці, яка лежить в основі значної частини всього зашифрованого інтернет-трафіку. Ця нещодавно виявлена вада, що отримала назву Heartbleed, дозволяла зловмиснику зчитувати пам'ять сервера (до якої він не повинен був мати доступу), у відкритому тексті розкриваючи приватні ключі, облікові дані, які використовувалися десятками тисяч сервісів, та дані користувачів. Жодної програми винагород за баги там не було. Хоча про вразливість було повідомлено відповідально, між виявленням і виправленням минуло більше часу, ніж будь-хто з нас хотів би думати, а наслідком стала багатомісячна глобальна гонитва за всім — від патчів програмного забезпечення до оновлень контенту й навіть переадресацій. Контрфактичне припущення — а що, якби урядова розвідувальна служба або злочинне угруповання виявили її раніше? — було достатньо тривожним, щоб прискорити впровадження структурованих програм розкриття інформації по всій галузі.

## Чому криптосфері «білі капелюхи» потрібні більше, ніж будь-кому

Таким чином, проблема безпеки в блокчейні структурно відрізняється (і є фундаментально складнішою) від звичайної проблеми безпеки програмного забезпечення, що важливо для розуміння того, чому баунті-програми стали таким центральним елементом цього ландшафту.

У традиційному програмному забезпеченні уразливість є серйозною, але обмеженою. Скомпрометований вебзастосунок банку може спричинити витік даних або спровокувати шахрайство, але збитки локалізуються в системі з законами, страхуванням, виявленням шахрайства та можливістю скасувати незаконні транзакції. Гроші мають документальний слід. Зловмисник не діє у вакуумі.

Сценарії ж втрат у DeFi: успішний (чи навіть ні) експлойт розгортається інакше майже в кожному вимірі. За лічені секунди всі кошти протоколу можуть бути виведені, якщо зловмисник скористається часовою вадою в смартконтракті. У разі успіху нападник отримує криптовалюту, яку не тільки важко відстежити, але й майже неможливо повернути без співпраці з її новим власником. Ніхто не може скасувати транзакцію, оскільки центрального органу влади не існує. У будь-який момент часу мільярди доларів незмінно зберігаються в цих публічно відкритих для читання та автономно діючих смартконтрактах. Ваш код — це ваш продукт, а ваш продукт — це сховище. Для більшості механізмів діє принцип «хто перший прийшов, того й маєтність», а єдиним захистом залишається незмінний запис ончейн.

Ось що робить динаміку «спис проти щита» в криптосфері настільки невідкладною. З того моменту, як ви розгортаєте будь-який протокол, що має цінність, форки стають вектором атаки з першого дня. Нападники не є неорганізованими. Деякі пов'язані з державами, деякі є передовими злочинними угрупованнями, а багато інших просто тримають карту аморальності та пристанищ у Solidity; у них є гроші напоготові, і вони пильно стежать за тим, що розгортається. Очікування відтоку користувачів через проблеми безпеки не є життєздатною бізнес-стратегією. Ні, єдиний варіант — знайти ці вразливості раніше за інших і найняти людей, достатньо талановитих для цього.

Аудит і тестування на проникнення — залучення фірми з безпеки для перевірки коду перед його розгортанням — необхідні, але зовсім недостатні. Аудити зазвичай обмежені в часі та виконуються командами фіксованого розміру. Система смартконтрактів може мати мільйони потенційних шляхів взаємодії, і команда аудиту в умовах обмеженого часу перевірить лише найбільш очевидні. Ці баунті-програми розширюють пошук до значно ширшого горизонту та залучають глобальний пул дослідників із різним бекграундом, різними ментальними моделями та необмеженим часом. Поєднання обох підходів — комплексний внутрішній аудит перед виходом у mainnet, а потім постійно діюча програма винагород — сьогодні є стандартом для протоколів, що дбають про безпеку.

## Математика для CEO: між тисячею доларів і мільйоном

Економічне обґрунтування програм bug bounty є достатньо зрозумілим, щоб не потребувати пояснень; однак на практиці вони потрібні, оскільки витрати відбуваються зараз, а економія є теоретичною та розтягнутою на тривалий період часу.

Протокол із винагородою в $10 000 за критичну вразливість витратив $10K на свою безпеку. Це той самий протокол, який не показав би жодної вразливості (ми щойно бачили, як зловмисник цим скористався) і тепер міг би втратити всі свої накопичення — десятки мільйонів швидко зникли б, з набагато більшою кількістю складнощів, про які доведеться турбуватися, взагалі ризикуючи повною зупинкою діяльності. Винагорода була не витратою — це була превентивна страхова виплата до того, як стався страховий випадок. Жодні суперечки не дадуть того розуміння, яке потрібне для усвідомлення цієї математики перед запуском, — кожен CEO, який пройшов через серйозний експлойт, розуміє це на рівні інтуїції. Ті, хто цього не робив, розглядають витрати на безпеку лише як ще одну операційну статтю витрат, яку потрібно мінімізувати заради галочки у звіті комплаєнсу.

![Крипто-баунті: як отримувати виплати за злом блокчейну](https://netts.io/blog/images/body/ded9986e7297b88e3ccbff8b4b88b8c3b88bd36d-1440.webp)

Дані про вартість надає історія експлойтів у DeFi. Як приклад, лише у 2022 році міст Ronin Network зазнав збитків на $625 мільйонів. А інший міст, Wormhole, був зламаний у січні з втратами у $320 мільйонів. Nomad Bridge — втрачено $190 мільйонів, оскільки кожен користувач міг спустошити протокол, як тільки було визначено початковий патерн атаки, — вразливість, виявлення та закриття якої могло б коштувати лише $50 000 у вигляді винагороди. Це не поодинокі випадки. Це офіційна хроніка того, що відбувається у високовартісному середовищі, де пошук «дірок» командами red team дуже добре винагороджується, а ціна експлуатації дорівнює нулю.

Менш згадуваний ризик насправді веде в інший бік. Протокол, який відкриває баунті-програму до того, як належним чином до неї підготувався, фактично виписує відкрите запрошення знайти все, що пропустила його внутрішня команда, — і якщо кодова база погано перевірена, це може бути буквально все. Наприклад, програма з лімітом у $100 000, запущена проти системи контрактів із двадцятьма критичними вразливостями, може зіткнутися з одночасними розкриттями, які спустошать весь бюджет винагород за кілька днів, при цьому протокол так і не працюватиме безпечно. Уявіть цей сценарій, який дозволяє нам сказати, що багато ранніх проєктів DeFi опинилися приблизно в такому становищі: публічно оголошується програма винагород, починають сипатися повідомлення, які показують, що внутрішній аудит був лише поверхневим; проте витрати на усунення недоліків швидко перевищили те, що команда виділила на весь свій підхід до безпеки. Мораль цієї історії не в тому, що bug bounty — це ризиковано; вона в тому, що вони вимагають мінімального стандарту якості коду. Протоколи дізнаються про свої найгірші проблеми найгіршим із можливих способів, запускаючи програму винагород як заміну суттєвої внутрішньої роботи з безпеки, а не як доповнення до неї.

Усвідомлення цих висновків призвело до наступної реальної послідовності дій: внутрішній огляд, один або кілька зовнішніх аудитів від авторитетних фірм, а потім запуск у продакшн із постійно діючою програмою bug bounty. Інші додають додатковий захід поетапного розгортання — обмежують максимальну вартість під ризиком (value-at-risk) протоколу на певний час, поки діє баунті, і збільшують ліквідність лише тоді, коли не виникає критичних збоїв. Це повільніше і часто дорожче, ніж просто реліз. Альтернатива ж іноді буває катастрофічною.

## Екосистема: платформи, програми та рекордні виплати

Інфраструктура криптовалютних баунті-програм значно подорослішала з перших днів неофіційних листів із розкриттям інформації та ситуативних винагород.

Immunefi — найбільша платформа в цій сфері, запущена в грудні 2020 року. До початку 2026 року вона виплатила понад $100 мільйонів дослідникам за більш ніж 3 000 звітів про баги та стверджує, що допомогла запобігти збиткам на суму понад $25 мільярдів у щонайменше 500 протоколах. Платформа обслуговує спільноту з близько 45 000 зареєстрованих дослідників безпеки, підтримує структуровані процеси розкриття та виступає посередником у переговорах, які відбуваються між дослідниками та протоколами щодо класифікації серйозності та сум виплат. Immunefi бере частку від виплат винагород, що розумно узгоджує їхні стимули з обома сторонами ринку: вони отримують більше, коли дослідники знаходять реальні баги, а протоколи платять за них.

![Крипто-баунті: як отримувати виплати за злом блокчейну](https://netts.io/blog/images/body/248fe0ddb5726d3e120782564dc799f3b0384656-1440.webp)

Найбільшою разовою виплатою в історії платформи залишається винагорода в розмірі $10 мільйонів, виплачена в лютому 2022 року одному з її дослідників під ніком «satya0x» за виявлення вразливості неініціалізованого проксі в мосту Wormhole. Ця вразливість, у разі реалізації загрози, могла призвести до розкриття заблокованих ресурсів на суму близько $736 мільйонів. Дослідник відповідально повідомив про це й отримав на той момент найбільшу відому виплату за всю історію bug bounty. У грудні 2021 року Polygon викупив критичний баг у дослідника Леона Спейсвокера (Leon Spacewalker) за $2,2 мільйона, який міг дозволити скарбувати до 9,3 мільярда токенів MATIC — що еквівалентно мільярдам доларів за курсом на той момент. Математика цілком очевидна в обох напрямках: винагорода була великою в абсолютних цифрах і мізерною у відносному вираженні порівняно з тим, що могло бути втрачено через відвернені атаки.

Спеціальні програми заохочення, що діють на рівні протоколів, зараз досягли показників, які важко було уявити ще кілька років тому. Максимальна виплата становить $15,5 мільйона за критичні вразливості в програмі Uniswap v4. LayerZero пропонує відкриті винагороди до $15 мільйонів. У 2026 році максимальна виплата Ethereum Foundation зросла до $1 мільйона. Ці цифри повинні не лише корелювати з цінністю того, що намагаються захистити ці протоколи, але й масштабуватися відповідно до калібру дослідників, чию увагу ви прагнете привернути — ліміт у $1 000 не стимулюватиме людину, здатну використати критичну вразливість у багатомільярдному протоколі.

Code4rena та Sherlock працюють дещо інакше: ви проводите змагальний конкурс аудитів у визначені часові межі, де кілька дослідників одночасно перевіряють кодову базу та отримують частки загального призового фонду залежно від серйозності та валідності знахідок. Спільнота Code4rena налічує понад 8 300 зареєстрованих аудиторів і більше 24 000 унікальних знахідок за всі аудити. Sherlock провів понад 175 таких конкурсів. Змагальний формат змінює структуру стимулів; дослідники мотивовані шукати проблеми, які інші можуть не помітити, оскільки знахідки у великій кількості однакових дублікатів часто отримують лише невелику виплату або не отримують нічого. Загалом це також виявляє проблеми в більшому масштабі, ніж послідовні аудити або відкриті баунті-програми окремо. Криптопрограми для інших власників Bitcoin Cash, таких як Coinbase і MakerDAO, досі розміщуються на GitHub. На всьому активному ринку bug bounty у Web3 зараз пропонується понад 162 млн доларів США винагород на випадок, якщо щось піде не за планом, що відображає як розмір того, що стоїть на кону, так і шлях професіоналізації, який пройшли багато дослідників.

## Аналіз ремесла і чому це не легкі гроші

Образ мисливця за багами як людини, яка одного дня знаходить уразливість і забирає шестизначну суму, не відповідає реальності цієї роботи. Фахівці, які заробляють на постійне життя дослідженням безпеки в криптосфері, зазвичай є вузькими спеціалістами, чий шлях вимагає багатьох років технічної підготовки в галузях, куди більшість розробників заглядають рідко.

Пошук найсерйозніших дефектів у продакшн-коді смартконтрактів вимагає глибоких знань Ethereum Virtual Machine — не просто вміння писати на Solidity, але й розуміння того, у що він компілюється, що насправді робить EVM під час виконання байт-коду та які особливості мови гарантуються або виконуються її компілятором, на відміну від потенційних граничних випадків, які можуть перетворитися на проблеми безпеки в поєднанні з оптимізацією газу, на яку йдуть обмежені в коштах розробники в умовах дедлайну. Це вимагає не лише розуміння поширених класів уразливостей — реентрантності (reentrancy), переповнення цілих чисел, маніпуляцій із флеш-кредитами, маніпуляцій з цінами оракулів, збоїв контролю доступу, уразливостей ініціалізації, — але й здатності виявляти нові вектори атак, які не відповідають жодним відомим шаблонам. Найкорисніші знахідки — це ті, які ніхто навіть не шукав.

Інструментарій, з яким дослідники підходять до цієї роботи, значно вдосконалився і зараз включає засоби, які в більшості випадків не відрізняються від того, що застосовував би зловмисник:

Slither, фреймворк статичного аналізу, розроблений Trail of Bits, може сканувати ваш код на Solidity за 40 відомими патернами вразливостей і видавати впорядкований результат. Це перший крок, але не останній — він дає хибні спрацьовування та повністю пропускає вразливості на рівні логіки.

Mythril використовує символьне виконання для проходження можливих станів контракту та перевіряє, чи не порушує будь-який досяжний стан певні властивості безпеки, зазначені дослідником. Однак він є ресурсомістким і дозволяє проводити лише поверхневий аналіз складних контрактів.

Це фаззер на основі властивостей: маючи набір інваріантів, яким контракт завжди повинен відповідати, дослідник передає їх в Echidna, яка генерує тисячі випадкових послідовностей транзакцій, намагаючись їх порушити. Він особливо ефективний для пошуку граничних випадків в арифметиці та логіці управління станом.

Більшість серйозних досліджень безпеки зараз виконується за допомогою Foundry, оскільки він забезпечує мінімальний шлях від «я думаю, це спрацює» до «я можу довести, що це працює», тим більше, що більшість дослідників пишуть свої тести та експлойти безпосередньо на Solidity за допомогою Foundry.

За допомогою інструментів формальної верифікації Certora дослідники можуть задавати специфікації поведінки контракту у формі математичних вимог, а потім перевіряти їх щодо реального байт-коду. Це найскладніший метод і водночас найважчий для впровадження з точки зору навичок та зусиль.

Ще один інструмент від Trail of Bits, Manticore, виконує динамічний аналіз і може використовуватися для автоматичної генерації вхідних даних, що активують певні гілки коду в контракті, — те, до чого статичний аналіз дістатися не може.

Жоден із цих інструментів не знаходить критичні вразливості автоматично. Вони звужують простір потенційних кандидатів і виділяють те, що людина потім повинна оцінити сама. Якщо дослідник не вміє читати асемблер EVM, аналізувати порядок транзакцій і розуміти економіку протоколу DeFi на системному рівні, він не зможе зробити багато з результатами роботи будь-якого з цих інструментів. Ці інструменти є підсилювачами експертизи, а не її заміною.

![Крипто-баунті: як отримувати виплати за злом блокчейну](https://netts.io/blog/images/body/09da4280291ee427904e2ebb93d8640edb7a7f6a-1242.webp)

Ці практичні труднощі виходять далеко за межі технічних. Конкуренція надзвичайно висока. Під час аудиторського конкурсу на Code4rena або Sherlock десятки розробників одночасно вивчають одну й ту саму кодову базу. Один дослідник зазвичай першим заявляє про критичну знахідку — усі інші, хто знаходить ту саму проблему, отримують копійки або взагалі нічого. Дослідник, який витратив тиждень на конкурс і знайшов лише проблеми середньої серйозності, може піти з парою сотень доларів. Мінливість доходів висока, а періоди без заробітку цілком реальні.

Проте довести результат може бути так само важко, як і виявити його. Необхідно на практиці продемонструвати можливість експлуатації (зазвичай за допомогою повноцінного proof-of-concept експлойту). Дехто знову ж таки оскаржує класифікацію серйозності критичної або середньої знахідки, стверджуючи, що певні аспекти пом'якшують їхній статус. Дослідники, які не документують свою роботу ретельно, і дослідники, яким не вистачає репутаційного впливу, можуть виявити, що за важливі відкриття їм недоплачують.

І, зрештою, юридичне та податкове середовище перетворюється на окрему проблему. Більшість винагород виплачується в тій чи іншій формі криптовалюти — чи то USDT, USDC, ETH, чи то нативний токен протоколу. Отримання переказу в USDT як доходу є подією, що підлягає оподаткуванню, вимагаючи від одержувача відстежувати вартість на момент надходження перед її конвертацією для звітності, а також враховувати приріст капіталу від будь-якого руху ціни, якщо виплата здійснювалася через будь-який тип цифрового активу. Bug bounty супроводжуються реальними накладними витратами — створення практики в цій сфері, як і будь-який бізнес, вимагає балансування компромісів між витраченим часом і відчутними результатами; якщо ви ігноруєте адміністративні питання, це стає ще однією проблемою, яка непомітно накопичується.

Але глибший виклик полягає в тому, що ця робота має високу стелю і нульову підлогу заробітку. Дослідник, який здобув реальну експертизу з перевіреним досвідом — той, хто виявив критичні вразливості протоколів, чиє ім'я з'являється у звітах аудитів та постмортемах, — може заробляти гроші, порівнянні з зарплатами провідних інженерів у великих компаніях. Для досягнення цього потрібна або якась дивна генетична схильність від народження, або роки відточування конкретної майстерності. Майже кожен, хто намагається заробляти на життя виключно цим, швидко виявляє, що час навчання набагато довший, ніж очікувалося, конкуренти підготовлені краще, ніж очікувалося, а поки триває підготовка, доходу просто недостатньо для покриття витрат.

Це не обов'язково означає, що це погана сфера. Це робить її чесною. Ті самі навички, які дозволяють досліднику багів досягти успіху — глибока технічна зосередженість, системне мислення, креативність перед обличчям невизначеності та готовність годинами працювати над тим, що може взагалі не принести віддачі, — це саме ті навички, які шукають фахівці з безпеки в будь-якій галузі. Людина, яка розвинула ці навички до рівня, необхідного для досліджень безпеки в криптосфері, має змогу обирати. Однією з таких кар'єр є шлях bug bounty, і все більше — для тих небагатьох, хто ним іде.

![Крипто-баунті: як отримувати виплати за злом блокчейну](https://netts.io/blog/images/body/46741b6610f0bf16503bc74c3671db4f62dfbdfe-1440.webp)

Це чудова новина для всіх, чий робочий процес побудований на базі USDT — від визначення того, кому яка винагорода виплачується, до розподілу виплат між кількома учасниками або простого виведення нагороди з протоколу. Netts USDT Transfer Calculator робить саме це: введіть адреси відправника та одержувача, і він точно підкаже, скільки Energy та Bandwidth знадобиться для транзакції, скільки спалюється за замовчуванням або якщо використовуються наявні ресурси, разом із порівнянням вартості відправки на адресу, де вже є USDT (13.84 TRX проти 2-3 TRX за орендовану Energy), та на нову (27.70 TRX проти 4-5 TRX за орендовані ресурси) — понад 80% економії в будь-якому випадку!