觀點作者：Mitchell Amador，Immunefi創始人兼首席執行官
加密貨幣抵禦災難性駭客攻擊的最佳防禦不是程式碼——而是激勵機制。漏洞賞金已經防止了數十億美元的損失，重要的是要強調，如果沒有建立正確的激勵機制，這些數十億美元可能是被利用的漏洞，而不是負責任的披露。這種保護只有在白帽行為的激勵明顯超過利用漏洞的激勵時才有效，而當前的市場趨勢正在以危險的方式傾斜這種平衡。
擴展漏洞賞金標準意味著獎勵規模應隨著風險資本的數量而增長。如果一個漏洞可能耗盡1000萬美元，賞金應該提供高達100萬美元的獎勵。對於安全研究人員來說，這些是改變生活的激勵，促使他們披露而非利用漏洞，與被駭客攻擊的毀滅性後果相比，這對協議來說是成本效益的。這種擴展方法保護整個協議免遭破壞，並確保鏈上金融的持續增長。
問題在於市場競爭正在扭曲這些激勵機制。一些平台現在將其最低成本服務計劃與有上限的賞金獎勵掛鉤，有時不超過5萬美元。這種定價結構迫使協議最小化獎勵並降低成本，為下一次災難性駭客攻擊創造了條件。
漏洞賞金作為防禦機制
Cork Protocol最近的1200萬美元駭客攻擊提供了一個說明性例子。該協議將其關鍵漏洞賞金設定為僅10萬美元，只是風險資金的一小部分。這種錯位創造了一個簡單的經濟計算：如果有上限的支付比利用價值低120倍，為什麼要花費數百小時尋找漏洞？這樣的數學不會阻止利用；它會鼓勵利用。
漏洞賞金是關鍵的防禦機制，只有在與風險一致時才有效。當擁有數千萬總鎖定價值的協議提供低五位數的賞金時，他們實際上是在賭駭客會選擇道德而非經濟利益。這不是策略——這是希望。
百萬美元標準存在是有原因的
加密貨幣的安全標準是通過百萬美元時刻鍛造的。MakerDAO設定了1000萬美元的賞金，表明了保護的價值。Wormhole在關鍵漏洞利用後支付1000萬美元，鞏固了有意義的安全需要有意義激勵的先例。在一個漏洞可以在幾分鐘內耗盡資金庫的行業中，安全研究人員需要改變生活的理由來選擇披露而非破壞。
這種擴展方法已被證明有效。當關鍵漏洞可能影響數百萬用戶資金時，賞金應該提供成比例的獎勵，通常約為風險資本的10%。這些經濟學有助於確保最優秀的研究人員留在生態系統中，並保持報告漏洞的動力。
市場力量正在創造危險先例
爭奪市場份額的競爭導致一些平台在價格而非安全結果上競爭。通過將平台費用與有上限的賞金獎勵掛鉤，他們創造了一種反常的激勵結構；協議選擇較低的獎勵以最小化成本，不是因為風險證明了這一點，而是因為定價鼓勵這樣做。這是對漏洞賞金本質的根本誤解。它們不僅僅是支出；它們是保險政策，其價值必須與它們保護的東西成比例。
更糟糕的是，一些安全平台現在要求限制研究人員工作地點的排他性合同。其他平台允許披露後重新定價，這破壞了研究人員的信任。這些做法侵蝕了使漏洞賞金首先有效的社會契約。如果熟練的研究人員對系統公平性失去信心，他們有三個選擇：停止狩獵、轉向私人審計或轉入地下。
結果是寒蟬效應：協議限制獎勵以削減成本。研究人員選擇退出，因為上行空間不值得努力。關鍵漏洞未被發現。漏洞利用發生。協議進一步削減安全預算。這是一個死亡螺旋，除了惡意行為者外，對任何人都沒有好處。
來自Web2的警告
與Web2漏洞賞金失敗的相似之處令人擔憂。在那裡，長期的低薪和對研究人員的惡劣待遇導致許多熟練的白帽完全放棄公共項目。加密貨幣不能犯同樣的錯誤，尤其是當數萬億價值準備轉移到鏈上，機構正在密切關注時。
一些人認為早期團隊負擔不起大額賞金。然而，事實是，成功駭客攻擊的成本總是會超過一個良好對齊的漏洞賞金的成本。失去資金是昂貴的。失去信任是致命的。
前進道路需要行業協調
保護加密貨幣的安全基礎設施需要認識到漏洞賞金基於信任和激勵運作。每個定價過低的項目都會削弱保持熟練研究人員站在法律正確一邊的社會契約。
解決方案並不激進。維持反映實際風險的賞金獎勵。確保對研究人員的透明、公平待遇。抵制將安全視為成本中心而非價值驅動因素的誘惑。
至關重要的是，平台必須停止激勵協議削弱自己的防禦。
去中心化經濟只有在信任與其一起擴展時才能運作。如果我們希望加密貨幣繼續增長，獲得用戶、監管機構和機構的信心，我們需要不僅在紙面上而且在實踐中都有意義的賞金系統。加密貨幣只有在其防禦者被賦權行動的程度上才能蓬勃發展。
觀點作者：Mitchell Amador，Immunefi創始人兼首席執行官。