Zero-day эксплойт в DeFi: как white hat зарабатывает на bug bounty, а black hat — на краже

Zero-day — это уязвимость в коде смарт-контракта или протокола, о которой не знают разработчики и для которой нет защиты. Название отражает количество дней у команды на реакцию — ноль. В DeFi zero-day особенно опасны: контракты неизменяемы, средства доступны мгновенно, а транзакции необратимы. Исследователь, нашедший такую уязвимость, имеет полный контроль над ситуацией до момента раскрытия. Риск для инвестора: средства в протоколе могут быть похищены в считанные блоки.

White hat — исследователь безопасности, который сообщает об уязвимости команде протокола, не используя её злонамеренно. Bug bounty — программа вознаграждений за найденные баги: крупные DeFi-протоколы предлагают от нескольких тысяч до миллионов долларов за критические находки. Платформа Immunefi является основным агрегатором таких программ в Web3. Риск: выплата вознаграждения — добровольное решение команды протокола, гарантий нет, а доказать факт находки без раскрытия уязвимости затруднительно.

Black hat использует уязвимость для кражи средств — это уголовно наказуемое деяние в большинстве юрисдикций. Grey hat — промежуточный случай: исследователь эксплуатирует уязвимость частично (например, выводит средства «для защиты», а затем возвращает), действуя без разрешения команды. Ряд громких DeFi-инцидентов описывался именно как grey hat rescue. Риск: grey hat действия юридически неоднозначны и могут быть квалифицированы как кража даже при последующем возврате средств.

Крупнейшие DeFi-протоколы устанавливают максимальные выплаты за критические уязвимости в диапазоне от $100 тыс. до $10 млн и более. Immunefi зафиксировала выплату $10 млн за критический баг в протоколе Wormhole в 2022 году. Средний размер выплаты по критическим находкам — в диапазоне нескольких сотен тысяч долларов. Риск: большинство программ покрывают только смарт-контракты, исключая фронтенд, инфраструктуру и социальную инженерию.

Стандартная процедура: исследователь сообщает в приватном порядке → команда верифицирует находку → готовит патч или экстренную паузу контракта → публично раскрывает инцидент после устранения (responsible disclosure). Срок между уведомлением и раскрытием обычно составляет от 24 часов до нескольких недель в зависимости от сложности. Риск: если команда медлит с патчем, а уязвимость становится известна третьим лицам, окно для атаки остаётся открытым.

Да. Вознаграждение по bug bounty программе является доходом физического лица и облагается НДФЛ по ставке 13% (при доходе свыше 2,4 млн руб./год — 15%). Если выплата осуществляется в криптовалюте, налоговая база определяется в рублях по курсу ЦБ РФ на дату получения дохода. Риск: отсутствие чёткой правоприменительной практики по bug bounty в РФ создаёт неопределённость в части налогового учёта и квалификации дохода.

Деятельность white hat исследователей в РФ законодательно не урегулирована специально. Поиск уязвимостей в рамках официальной bug bounty программы с письменным разрешением протокола снижает правовые риски. Несанкционированный доступ к системам — состав преступления по ст. 272 УК РФ независимо от намерений.