Опубликована уязвимость: как отличить серьёзность от шума

«Уязвимость Bitcoin» — фраза, охватывающая четыре очень разные ситуации. Разобраться, какая из них перед вами, снимает большую часть паники.

Четыре уровня, четыре радиуса поражения

Изъян консенсуса — нечто, позволяющее принимать невалидные блоки или нарушить график предложения, — единственный по-настоящему системный случай, и он крайне редок. Ошибка реализации затрагивает пользователей конкретной версии клиента; с протоколом всё в порядке, а лечится обновлением. Уязвимость кошелька затрагивает пользователей этого кошелька и часто требует особых условий. Взлом сервиса — это компрометация компании, и о Bitcoin он не говорит ничего.

Как выглядит ответственное раскрытие

О серьёзных находках обычно сообщают приватно, их патчат, разворачивают и лишь затем описывают публично — нередко придерживая детали, пока обновление не станет массовым. Публичный анонс с драматичной подачей и без доступного патча — более слабый сигнал, чем тихое уведомление, сопровождаемое выпущенным исправлением.

Вопросы, разделяющие эти случаи

Какое ПО и какие версии? Доступен ли патч и развёрнут ли он? Какие условия должны выполниться для эксплуатации — физический доступ, злонамеренный контрагент, определённый тип транзакции? Потерял ли кто-нибудь средства или это теоретическая уязвимость? И главное: затрагивает ли это монеты в самостоятельном хранении с обновлённым клиентом — или только конкретный сервис?

Повторяющийся ответ

Большинство заголовков «Bitcoin взломали» описывают компрометацию компании. Это реальное событие с реальными потерями для реальных людей, и о нём стоит сообщать, — но это история о хранении и корпоративной безопасности, а не о протоколе. Смешение этих двух вещей делает читателей менее способными оценивать риск, а не более.