Pengungkapan Kerentanan

Apa Itu Pengungkapan Kerentanan?

Pengungkapan Kerentanan adalah proses melaporkan, memvalidasi, memperbaiki, dan mengomunikasikan secara publik kelemahan keamanan dalam perangkat lunak, smart contract, wallet, protokol, infrastruktur, atau aplikasi Web3.

Dalam kripto, pengungkapan kerentanan sangat penting karena satu bug dapat membahayakan dana pengguna, treasury protokol, bridge, validator, kontrak governance, wallet, NFT, atau posisi DeFi.

NIST Federal Vulnerability Disclosure Guidelines menjelaskan pengungkapan kerentanan sebagai kerangka kerja untuk melaporkan, menilai, dan mengelola pengungkapan kerentanan.

CISA Coordinated Vulnerability Disclosure Program menjelaskan pengungkapan kerentanan terkoordinasi sebagai bagian dari perlindungan infrastruktur kritis dan peningkatan keamanan siber.

Sederhananya, pengungkapan kerentanan berarti memberi tahu pihak yang tepat tentang celah keamanan sebelum penyerang dapat mengeksploitasinya atau sebelum pengguna mengalami kerugian yang sebenarnya dapat dihindari.

Proses pengungkapan yang baik memberikan jalur pelaporan yang aman bagi peneliti keamanan.

Proses ini memberi tim proyek waktu untuk mengonfirmasi masalah, menyiapkan perbaikan, melindungi pengguna, dan berkomunikasi dengan jelas.

Proses ini juga memberi publik informasi yang cukup untuk memahami risiko setelah masalah ditangani.

Mengapa Pengungkapan Kerentanan Penting dalam Kripto

Pengungkapan kerentanan penting dalam kripto karena sistem blockchain sering kali mengelola nilai finansial nyata secara langsung melalui kode.

Bug pada aplikasi web biasa dapat mengekspos data atau mengganggu layanan.

Bug smart contract dapat memungkinkan pencurian aset secara instan, minting tanpa batas, manipulasi oracle, pengambilalihan governance, pengurasan bridge, penyalahgunaan likuidasi, atau penguncian dana permanen.

database peretasan DeFiLlama melacak kerugian bernilai miliaran dolar dari peretasan DeFi, bridge, kegagalan logika protokol, dan eksploitasi kripto lainnya.

Hal ini menunjukkan bahwa pengungkapan kerentanan kripto bukan sekadar bentuk kesopanan teknis.

Ini adalah proses keamanan finansial.

Saat whitehat melaporkan bug secara bertanggung jawab, protokol dapat memperbaiki masalah sebelum penyerang menemukannya.

Saat protokol mengabaikan laporan atau tidak memiliki saluran pengungkapan, peneliti mungkin tidak mengetahui tempat untuk melapor dengan aman.

Saat pengungkapan dilakukan terlalu dini, penyerang dapat mengeksploitasi kelemahan sebelum pengguna dilindungi.

Saat pengungkapan dilakukan terlambat, pengguna dapat terus berinteraksi dengan kode berisiko tanpa mengetahui bahayanya.

Tujuannya adalah mengurangi kerugian sambil menjaga transparansi.

Pengungkapan Kerentanan vs. Pengungkapan Kerentanan Terkoordinasi

Pengungkapan kerentanan adalah tindakan umum untuk melaporkan dan mengomunikasikan celah keamanan.

Coordinated Vulnerability Disclosure, yang sering disingkat CVD, adalah proses terstruktur ketika peneliti, vendor, tim proyek, pihak yang terdampak, dan terkadang koordinator bekerja sama sebelum pengungkapan publik.

CERT Guide to Coordinated Vulnerability Disclosure menjelaskan CVD sebagai proses yang melibatkan penemu, pelapor, vendor, dan koordinator.

Dalam Web3, pengungkapan terkoordinasi dapat melibatkan peneliti keamanan, tim inti protokol, penanda tangan multisig, delegasi DAO, auditor, pengembang wallet, operator bridge, penyedia infrastruktur, atau platform bug bounty.

Koordinasi penting karena sistem kripto sering kali bersifat composable.

Kerentanan dalam satu protokol dapat memengaruhi protokol lain yang mengintegrasikannya.

Bug dalam library wallet dapat memengaruhi banyak aplikasi.

Kerentanan dalam bridge dapat memengaruhi aset di berbagai chain.

Proses pengungkapan harus mengidentifikasi pihak yang perlu mengetahui masalah, kapan mereka perlu mengetahuinya, dan bagaimana informasi dapat dibagikan tanpa meningkatkan risiko serangan.

Pengungkapan Kerentanan vs. Bug Bounty

Pengungkapan kerentanan dan bug bounty saling terkait, tetapi bukan hal yang sama.

Pengungkapan kerentanan adalah proses pelaporan dan penanganan kelemahan keamanan.

Bug bounty adalah program reward yang membayar peneliti untuk laporan kerentanan yang valid.

Proyek dapat memiliki kebijakan pengungkapan kerentanan tanpa membayar reward.

Proyek juga dapat memiliki program bug bounty dengan cakupan ketat, aturan tingkat keparahan, rentang pembayaran, persyaratan pelaporan, dan pembatasan pengungkapan.

Ethereum Foundation Bug Bounty Program menunjukkan bagaimana ekosistem protokol besar menetapkan saluran pelaporan, cakupan, dan ekspektasi penelitian keamanan.

Bug bounty dapat mendorong peneliti untuk melaporkan masalah alih-alih menjualnya secara privat atau mengeksploitasinya.

Namun, bounty tidak secara otomatis membuat proyek aman.

Proyek tetap memerlukan triage, respons engineering, penerapan patch, komunikasi pengguna, dan perencanaan insiden.

Bug bounty merupakan lapisan insentif, sedangkan pengungkapan kerentanan adalah seluruh alur kerja keamanan.

Responsible Disclosure vs. Full Disclosure

Responsible disclosure biasanya berarti melaporkan kerentanan secara privat kepada tim yang terdampak dan memberi mereka waktu untuk memperbaikinya sebelum detail publik dirilis.

Full disclosure berarti membagikan detail kerentanan secara publik, terkadang segera dan terkadang setelah batas waktu tertentu.

Dalam kripto, full disclosure segera dapat sangat berbahaya jika bug memengaruhi smart contract aktif yang menyimpan dana pengguna.

Penyerang dapat menyalin laporan dan mengeksploitasi protokol sebelum perbaikan diterapkan.

Namun, pengungkapan privat tanpa batas waktu juga dapat berbahaya karena pengguna mungkin tetap terekspos ketika proyek menunda tindakan.

Karena itu, pengungkapan terkoordinasi sering menggunakan linimasa, aturan eskalasi, dan ekspektasi pengungkapan publik.

repositori pengungkapan publik Ethereum menyatakan bahwa Ethereum Foundation bertujuan mengungkapkan secara publik bug yang dilaporkan melalui program bug bounty dalam 90 hari, dengan waktu yang disesuaikan bila keadaan mengharuskannya.

Linimasa yang jelas membantu menyeimbangkan perlindungan pengguna, keadilan bagi peneliti, dan transparansi publik.

Kebijakan Pengungkapan Kerentanan

Kebijakan pengungkapan kerentanan memberi tahu peneliti cara melaporkan masalah keamanan dengan aman.

Kebijakan ini harus menjelaskan sistem apa yang termasuk dalam cakupan.

Kebijakan ini harus menjelaskan pengujian yang diizinkan.

Kebijakan ini harus menjelaskan pengujian yang dilarang.

Kebijakan ini harus mencantumkan saluran pelaporan resmi.

Kebijakan ini harus menjelaskan perkiraan waktu respons.

Kebijakan ini harus menjelaskan ketentuan safe harbor jika tersedia.

Kebijakan ini harus menjelaskan bagaimana pengungkapan publik akan ditangani.

Kebijakan ini harus menjelaskan apakah reward ditawarkan.

Kebijakan ini harus memberi tahu peneliti cara melindungi data pengguna dan menghindari kerugian.

halaman standar ISO/IEC 29147:2018 menyatakan bahwa pengungkapan kerentanan memberikan persyaratan dan rekomendasi bagi vendor tentang pengungkapan kerentanan pada produk dan layanan.

Bagi proyek kripto, kebijakan pengungkapan juga harus menjelaskan cakupan smart contract, frontend, oracle, bridge, wallet, governance, serta proses darurat treasury.

Security.txt dan Saluran Pelaporan

Peneliti keamanan sering kesulitan menemukan kontak yang benar untuk melaporkan kerentanan.

Inilah alasan security.txt dibuat.

RFC 9116 mendefinisikan security.txt sebagai format yang dapat dibaca mesin dan membantu organisasi menjelaskan praktik pengungkapan kerentanan mereka.

File security.txt dapat mencantumkan informasi kontak, kunci enkripsi, tautan kebijakan, tautan rekrutmen, pengakuan, dan preferensi pengungkapan.

Bagi proyek kripto, security.txt dapat membantu whitehat menemukan jalur pelaporan yang tepat dengan cepat.

Hal ini penting karena setiap jam dapat berharga saat terdapat risiko eksploitasi aktif.

Proyek tidak seharusnya memaksa peneliti mencari di saluran sosial acak, mengirim pesan langsung kepada pendiri, atau menebak alamat email yang asli.

Saluran pelaporan yang jelas mengurangi kebingungan dan meningkatkan kecepatan respons.

Proyek Web3 dengan nilai berisiko yang signifikan sebaiknya memublikasikan kontak keamanan dalam dokumentasi resmi, footer situs web, kebijakan keamanan repositori, dan file security.txt.

Kerentanan Kripto Umum yang Memerlukan Pengungkapan

Pengungkapan kerentanan kripto dapat mencakup berbagai jenis kelemahan.

Bug smart contract dapat mencakup reentrancy, kegagalan kontrol akses, manipulasi price oracle, kesalahan aritmetika, kesalahan logika bisnis, external call yang tidak diperiksa, dan kelemahan upgradeability.

OWASP Smart Contract Top 10 2026 mencantumkan risiko utama smart contract Web3 seperti kerentanan kontrol akses, kerentanan logika bisnis, manipulasi price oracle, serangan flash loan, external call yang tidak diperiksa, reentrancy, integer overflow dan underflow, serta masalah proxy upgradeability.

Kerentanan wallet dapat mencakup penandatanganan yang tidak aman, paparan seed phrase, kegagalan simulasi transaksi, prompt dApp berbahaya, atau penyimpanan kunci yang tidak aman.

Kerentanan bridge dapat mencakup kompromi validator, kegagalan verifikasi pesan, replay attack, pemeriksaan finality yang tidak memadai, atau kelemahan kustodi.

Kerentanan frontend dapat mencakup pembajakan DNS, injeksi JavaScript berbahaya, alamat kontrak palsu, dependensi package yang dikompromikan, atau perubahan UI yang menguras wallet.

Kerentanan infrastruktur dapat mencakup bug RPC, kesalahan indexer, masalah klien validator, paparan API, manajemen private key, atau kesalahan konfigurasi cloud.

Program pengungkapan yang baik menentukan masalah mana yang termasuk cakupan dan cara masalah tersebut harus dilaporkan.

Pengungkapan Kerentanan Smart Contract

Pengungkapan kerentanan smart contract sangat sensitif karena smart contract dapat bersifat publik, tidak dapat diubah, dan terhubung langsung dengan dana.

Peneliti yang menemukan bug smart contract sebaiknya tidak mengeksploitasinya demi profit.

Peneliti sebaiknya tidak memindahkan dana pengguna kecuali terdapat safe harbor yang secara jelas mengizinkan atau proses penyelamatan darurat.

Peneliti sebaiknya mengumpulkan bukti yang cukup untuk membuktikan masalah tanpa menimbulkan kerugian yang tidak perlu.

Tim protokol sebaiknya segera mengakui laporan tersebut.

Tim harus mereproduksi masalah dalam lingkungan yang aman.

Tim harus menilai kontrak, dana, integrasi, jalur upgrade, dan kontrol governance yang terdampak.

Tim harus memutuskan apakah perlu melakukan pause, upgrade, migrasi, memberi tahu integrator, atau mengambil tindakan darurat.

Setelah perlindungan diterapkan, tim sebaiknya memublikasikan postmortem atau advisory yang jelas apabila sudah aman dilakukan.

Pengungkapan smart contract harus dilakukan secara hati-hati karena setelah detail eksploitasi dipublikasikan, penyerang dapat bertindak dengan cepat.

Platform Bug Bounty di Web3

Platform bug bounty membantu mengelola pengajuan kerentanan, triage, reward, penilaian tingkat keparahan, komunikasi peneliti, dan cakupan program.

platform Immunefi menjelaskan bahwa mereka menggunakan dataset besar eksploitasi blockchain, laporan bug, dan perbaikan untuk mendukung pertahanan keamanan on-chain.

Riset Immunefi tahun 2026 tentang kerentanan kripto kritis melaporkan bahwa sebagian besar kerentanan kritis pascapeluncuran di kripto diungkapkan melalui platformnya.

Platform bug bounty dapat membantu proyek menerima laporan secara terstruktur.

Platform ini juga dapat membantu peneliti memahami tempat pengajuan, hal yang memenuhi syarat, dan cara reward dihitung.

Namun, platform tidak menghapus tanggung jawab tim proyek.

Proyek tetap memerlukan engineer, penanggung jawab keamanan, penanda tangan darurat, tinjauan hukum, dan rencana komunikasi.

Inbox bounty tanpa kapasitas respons dapat membuat peneliti frustrasi dan meningkatkan risiko pengguna.

Program bounty Web3 yang serius sebaiknya selaras dengan nilai yang berisiko.

Penilaian Tingkat Keparahan dan Dampak

Penilaian tingkat keparahan menentukan seberapa berbahayanya suatu kerentanan.

Dalam kripto, tingkat keparahan harus berfokus pada dampak realistis, bukan hanya kecanggihan teknis.

Kerentanan kritis dapat memungkinkan pencurian langsung, kehilangan dana permanen, minting tanpa batas, pengambilalihan governance, kompromi bridge, slashing validator, atau penghentian protokol.

Masalah berkeparahan tinggi mungkin memerlukan kondisi khusus, tetapi tetap dapat mengancam dana besar atau izin penting.

Masalah berkeparahan sedang dapat menimbulkan kerugian terbatas, denial of service, pencatatan yang tidak akurat, atau eskalasi hak akses terbatas.

Masalah berkeparahan rendah dapat berupa kelemahan kecil dengan dampak praktis yang terbatas.

Penilaian tingkat keparahan yang baik harus mempertimbangkan aset berisiko, kompleksitas eksploitasi, hak akses yang diperlukan, pengguna terdampak, composability, upgradeability, dan apakah penyerang dapat mengeksploitasi masalah on-chain dalam satu transaksi.

Tingkat keparahan juga harus mempertimbangkan apakah bug sudah diketahui, sudah dieksploitasi, atau terlihat dalam kode publik.

Program pengungkapan yang kuat menjelaskan bagaimana tingkat keparahan dipetakan ke prioritas respons dan rentang bounty.

Linimasa Pengungkapan

Linimasa pengungkapan menentukan kapan laporan diakui, kapan triage dilakukan, kapan perbaikan diharapkan, dan kapan pengungkapan publik dapat dilakukan.

Pengungkapan perangkat lunak tradisional sering menggunakan linimasa seperti 60 atau 90 hari, bergantung pada kebijakan.

Linimasa kripto dapat lebih singkat ketika dana aktif berisiko.

Eksploitasi smart contract dapat memerlukan respons darurat dalam hitungan menit atau jam.

Upgrade protokol mungkin memerlukan tindakan multisig, voting governance, penundaan timelock, migrasi likuiditas, atau periode penarikan pengguna.

Hal ini membuat linimasa pengungkapan lebih rumit dalam Web3.

Jika pengungkapan terjadi sebelum timelock berakhir, penyerang dapat mengeksploitasi masalah yang diketahui sebelum perbaikan dijalankan.

Jika pengungkapan terlalu lama ditunda, pengguna dapat tanpa sadar terus melakukan deposit ke kontrak yang rentan.

Kebijakan yang baik menjelaskan pengecualian darurat, ekspektasi embargo, pembaruan bagi peneliti, dan aturan pengungkapan publik.

Kejelasan linimasa mengurangi konflik antara peneliti dan proyek.

Whitehat dan Safe Harbor

Whitehat adalah peneliti keamanan yang bertujuan membantu melindungi pengguna dan sistem, alih-alih mengeksploitasinya secara jahat.

Dalam kripto, whitehat terkadang menghadapi pilihan sulit saat eksploitasi aktif karena dana on-chain dapat dikuras dengan cepat.

Beberapa situasi mungkin memerlukan tindakan penyelamatan darurat, tetapi tindakan tersebut dapat menimbulkan risiko hukum dan etika jika tidak diberi otorisasi dengan jelas.

kerangka SEAL Whitehat Safe Harbor menjelaskan kerangka hukum dan teknis yang memungkinkan protokol memberi otorisasi terlebih dahulu kepada whitehat untuk turun tangan saat eksploitasi aktif, menyelamatkan dana, dan mengembalikannya berdasarkan aturan yang ditetapkan.

Ketentuan safe harbor membantu mengurangi ketidakpastian bagi peneliti yang beritikad baik.

Ketentuan ini juga membantu protokol menentukan tindakan darurat yang diizinkan sebelum krisis terjadi.

Tanpa safe harbor, whitehat yang memindahkan dana untuk melindungi pengguna tetap dapat menghadapi risiko hukum.

Dengan safe harbor yang jelas, protokol dapat menetapkan batasan, aturan pengembalian, persyaratan pelaporan, dan perlindungan hukum sejak awal.

Risiko Hukum dan Etika

Pengungkapan kerentanan dapat melibatkan risiko hukum bagi peneliti maupun proyek.

Peneliti dapat melanggar hukum, ketentuan layanan, aturan penyalahgunaan komputer, aturan privasi, atau aturan anti-pengelakan jika pengujian tidak diizinkan.

Proyek dapat menimbulkan risiko dengan mengancam peneliti, mengabaikan laporan, gagal memperingatkan pengguna, atau menangani data pribadi secara keliru.

Karena itu, kebijakan pengungkapan harus mendefinisikan pengujian yang diizinkan dengan jelas.

Peneliti sebaiknya menghindari pengujian destruktif, pencurian data, denial of service, social engineering, dan pemindahan dana nyata kecuali secara eksplisit diizinkan.

Peneliti sebaiknya segera melapor dan menjaga bukti seminimal mungkin.

Proyek sebaiknya merespons secara hormat dan tidak memperlakukan laporan beritikad baik sebagai serangan.

Kripto menambah kompleksitas hukum karena dana dapat bergerak lintas batas dan protokol mungkin dikelola oleh DAO atau yayasan.

Kebijakan yang jelas tidak dapat menghapus semua risiko hukum, tetapi dapat mengurangi kebingungan dan meningkatkan kepercayaan.

Perlindungan hukum whitehat sebaiknya direncanakan sebelum kerentanan menjadi keadaan darurat.

Pengungkapan untuk DAO

DAO memerlukan proses pengungkapan kerentanan khusus karena pengambilan keputusan dapat bersifat publik, lambat, dan berbasis governance.

Panduan resmi Ethereum DAO menjelaskan DAO sebagai organisasi native internet yang dimiliki dan dikelola secara kolektif oleh para anggotanya.

Governance publik bernilai penting, tetapi diskusi publik tentang kerentanan kritis yang belum dipatch dapat berbahaya.

DAO mungkin memerlukan dewan keamanan privat, multisig darurat, komite bug bounty, atau kelompok pengungkapan dengan akses terbatas.

Kelompok ini dapat melakukan triage terhadap laporan sensitif sebelum diskusi publik penuh.

DAO tetap dapat memublikasikan postmortem dan laporan akuntabilitas setelah pengguna dilindungi.

Tantangan utamanya adalah menyeimbangkan transparansi dengan keamanan operasional.

Jika setiap perbaikan memerlukan proposal publik, penyerang dapat mengeksploitasi masalah sebelum governance selesai.

Jika setiap tindakan darurat dirahasiakan, pengguna dapat kehilangan kepercayaan.

DAO yang matang menetapkan kewenangan darurat, aturan pengungkapan, tugas penanda tangan, dan ekspektasi pelaporan publik sebelum krisis.

Pengungkapan untuk Protokol DeFi

Protokol DeFi memerlukan respons pengungkapan yang cepat karena aset dapat dikuras atau dimanipulasi langsung secara on-chain.

Panduan resmi Ethereum DeFi menjelaskan bahwa keuangan terdesentralisasi menggunakan blockchain publik dan smart contract untuk menyediakan produk serta layanan keuangan.

Kerentanan DeFi dapat memengaruhi liquidity pool, pasar pinjaman, perhitungan jaminan, saham vault, oracle, logika likuidasi, pencatatan reward, kontrak staking, atau kontrol governance.

Composability membuat masalah ini lebih sulit karena satu protokol rentan dapat diintegrasikan ke banyak protokol lain.

Respons pengungkapan DeFi harus segera mengidentifikasi integrasi hilir.

Respons tersebut harus menilai apakah deposit perlu dijeda.

Respons tersebut harus memutuskan apakah diperlukan penarikan darurat, upgrade kontrak, perubahan oracle, atau migrasi likuiditas.

Respons tersebut harus berkoordinasi dengan auditor dan mitra keamanan jika memungkinkan.

Respons tersebut harus mengomunikasikan informasi yang cukup untuk melindungi pengguna tanpa mengungkap instruksi eksploitasi terlalu dini.

Setelah perbaikan, protokol harus menjelaskan akar penyebab dan dampak terhadap pengguna secara jelas.

Pengungkapan untuk Wallet dan Aplikasi Web3

Kerentanan wallet dan aplikasi Web3 dapat merugikan pengguna meskipun smart contract tidak rusak.

Bug wallet dapat menampilkan detail transaksi yang salah.

Bug frontend dApp dapat mengarahkan pengguna ke kontrak yang salah.

Bug koneksi wallet dapat menyetujui chain atau metode yang salah.

Bug simulasi transaksi dapat menyembunyikan perpindahan aset berbahaya.

Bug ekstensi browser dapat mengekspos data sensitif.

Dependensi yang dikompromikan dapat menyuntikkan kode penguras wallet.

Panduan resmi keamanan Ethereum menjelaskan bahwa pengguna harus melindungi akses wallet, private key, dan frasa pemulihan.

Pengungkapan kerentanan wallet harus ditangani dengan sangat hati-hati karena pengguna bergantung pada antarmuka wallet untuk memahami hal yang mereka tandatangani.

Tim wallet sebaiknya memiliki kontak keamanan yang jelas, proses pembaruan cepat, rencana komunikasi risiko penandatanganan, dan sistem peringatan pengguna.

Aplikasi Web3 tidak seharusnya menganggap audit kontrak sudah cukup jika frontend dapat dikompromikan.

Pengungkapan Publik dan Postmortem

Pengungkapan publik harus membantu pengguna memahami apa yang terjadi, apa yang terdampak, apa yang diperbaiki, dan tindakan yang perlu mereka ambil.

Postmortem yang baik menjelaskan jenis kerentanan.

Postmortem tersebut menjelaskan linimasa.

Postmortem tersebut menjelaskan kontrak atau sistem yang terdampak.

Postmortem tersebut menjelaskan apakah dana berisiko atau hilang.

Postmortem tersebut menjelaskan perbaikannya.

Postmortem tersebut menjelaskan tindakan pengguna selanjutnya.

Postmortem tersebut menjelaskan perbaikan yang akan dilakukan tim.

Postmortem tersebut memberi kredit kepada peneliti jika sesuai dan diizinkan.

Postmortem tersebut menghindari publikasi detail yang siap dieksploitasi sebelum pengguna terlindungi.

Pengungkapan publik penting karena pengguna kripto sering perlu memutuskan apakah akan menarik aset, melakukan migrasi, mencabut approval, memperbarui wallet, menghindari frontend, atau memantau alamat.

Diam dapat merugikan karena membuat pengguna terus menebak-nebak.

Pengungkapan yang jelas membangun kepercayaan bahkan ketika kerentanannya serius.

Hal yang Harus Disertakan Peneliti dalam Laporan

Laporan kerentanan yang kuat harus jelas, faktual, dan dapat direproduksi.

Laporan harus mencantumkan proyek, komponen, kontrak, commit, endpoint, versi wallet, chain, atau alamat yang terdampak.

Laporan harus menjelaskan kerentanan dalam bahasa yang mudah dipahami.

Laporan harus menjelaskan dampaknya.

Laporan harus mencantumkan langkah proof of concept yang menghindari kerugian nyata bagi pengguna.

Laporan harus mencantumkan perilaku yang diharapkan dan perilaku aktual.

Laporan harus mencantumkan screenshot, log, transaksi pengujian, hasil pengujian lokal, atau cuplikan kode bila bermanfaat.

Laporan harus menjelaskan apakah dana berisiko.

Laporan harus menjelaskan apakah masalah tampak dapat dieksploitasi di mainnet.

Laporan harus menghindari rahasia yang tidak perlu, data pengguna, dan eksploitasi aktif.

Laporan yang baik membantu tim mereproduksi dan memperbaiki masalah dengan cepat.

Hal yang Harus Dilakukan Proyek Setelah Menerima Laporan

Proyek sebaiknya segera mengakui laporan tersebut.

Proyek harus menunjuk penanggung jawab keamanan.

Proyek harus memverifikasi klaim peneliti di lingkungan yang aman.

Proyek harus menilai tingkat keparahan dan sistem yang terdampak.

Proyek harus menjaga bukti.

Proyek harus menghindari diskusi publik sebelum rencana perlindungan tersedia.

Proyek harus menyiapkan perbaikan atau mitigasi.

Proyek harus berkoordinasi dengan integrator yang terdampak bila diperlukan.

Proyek harus membayar reward sesuai kebijakan bounty bila berlaku.

Proyek harus berkomunikasi dengan peneliti secara hormat.

Proyek harus memublikasikan pengungkapan atau postmortem ketika pengguna terlindungi.

Proyek yang mengabaikan laporan menciptakan risiko bagi pengguna dan merusak kepercayaan peneliti.

Manfaat Pengungkapan Kerentanan

Manfaat pertama pengungkapan kerentanan adalah perlindungan pengguna.

Celah keamanan dapat diperbaiki sebelum penyerang mengeksploitasinya.

Manfaat kedua adalah kepercayaan peneliti.

Whitehat lebih mungkin melaporkan masalah jika prosesnya jelas dan adil.

Manfaat ketiga adalah ketahanan protokol.

Proyek belajar dari kelemahan dan meningkatkan arsitektur keamanannya.

Manfaat keempat adalah transparansi.

Pengguna dapat memahami risiko nyata setelah masalah diselesaikan.

Manfaat kelima adalah keamanan ekosistem.

Protokol, wallet, dan penyedia infrastruktur yang terintegrasi dapat berkoordinasi saat kerentanan memengaruhi banyak sistem.

Manfaat keenam adalah kejelasan hukum.

Kebijakan dan ketentuan safe harbor mengurangi ketidakpastian bagi peneliti yang beritikad baik.

Manfaat ketujuh adalah budaya keamanan yang lebih baik.

Proyek yang menerima laporan dengan baik lebih mungkin terus melakukan perbaikan.

Risiko Pengungkapan Kerentanan yang Buruk

Risiko pertama adalah percepatan eksploitasi.

Detail publik yang dirilis terlalu dini dapat membantu penyerang mencuri dana.

Risiko kedua adalah kerugian pengguna.

Respons yang tertunda dapat membuat pengguna tetap terekspos.

Risiko ketiga adalah frustrasi peneliti.

Peneliti mungkin berhenti melapor jika proyek mengabaikan atau mengancam mereka.

Risiko keempat adalah konflik hukum.

Aturan yang tidak jelas dapat menimbulkan sengketa antara whitehat dan tim proyek.

Risiko kelima adalah kerusakan reputasi.

Pengguna dapat kehilangan kepercayaan jika proyek menyembunyikan kerentanan serius atau berkomunikasi dengan buruk.

Risiko keenam adalah kebingungan governance.

DAO mungkin kesulitan bertindak cepat jika tidak ada proses pengungkapan darurat.

Risiko ketujuh adalah kerusakan composability.

Kerentanan dalam satu protokol dapat menyebarkan risiko melalui integrasi sebelum pihak lain diperingatkan.

Kesalahpahaman Umum tentang Pengungkapan Kerentanan

Salah satu kesalahpahaman adalah pengungkapan kerentanan berarti langsung memublikasikan detail eksploitasi.

Pengungkapan yang baik sering kali dimulai secara privat agar tim yang terdampak dapat melindungi pengguna terlebih dahulu.

Kesalahpahaman lain adalah bug bounty secara otomatis berarti proyek aman.

Bounty membantu menerima laporan, tetapi tidak menggantikan audit, pemantauan, pengujian, dan respons insiden.

Kesalahpahaman ketiga adalah semua pemindahan dana oleh whitehat aman.

Memindahkan dana tanpa otorisasi dapat menimbulkan risiko hukum dan etika meskipun niatnya baik.

Kesalahpahaman keempat adalah hanya smart contract yang memerlukan pengungkapan.

Wallet, frontend, API, sistem RPC, bridge, oracle, validator, dan sistem governance juga dapat mengandung kerentanan serius.

Kesalahpahaman kelima adalah pengungkapan berakhir setelah patch.

Pengguna mungkin tetap memerlukan instruksi migrasi, panduan pencabutan approval, pembaruan wallet, atau detail postmortem.

Kesalahpahaman keenam adalah transparansi publik dan koordinasi privat merupakan hal yang berlawanan.

Proses yang matang dapat berkoordinasi secara privat terlebih dahulu dan mengungkapkannya secara publik setelah perlindungan tersedia.

Pengungkapan Kerentanan Secara Sederhana

Pengungkapan Kerentanan berarti melaporkan bug keamanan secara aman dan terorganisasi.

Dalam kripto, proses ini melindungi dana nyata dan pengguna nyata.

Peneliti menemukan kelemahan.

Peneliti melaporkannya melalui saluran resmi.

Proyek mengonfirmasi masalah tersebut.

Proyek memperbaiki atau memitigasi masalah tersebut.

Proyek berkomunikasi dengan pengguna ketika aman dilakukan.

Jika ada bug bounty, peneliti dapat menerima reward.

Jika ada safe harbor, peneliti dapat memperoleh perlindungan hukum yang lebih jelas atas tindakan beritikad baik.

Bagi pemula, aturan utamanya sederhana.

Pengungkapan kerentanan yang baik membantu memperbaiki bug sebelum penyerang mengubahnya menjadi kerugian.

FAQ

Apa itu Pengungkapan Kerentanan?

Pengungkapan Kerentanan adalah proses melaporkan, memvalidasi, memperbaiki, dan mengomunikasikan kelemahan keamanan dalam perangkat lunak, smart contract, wallet, protokol, atau infrastruktur Web3.

Apa itu pengungkapan kerentanan terkoordinasi?

Pengungkapan kerentanan terkoordinasi adalah proses terstruktur ketika peneliti, vendor, tim proyek, dan terkadang koordinator bekerja sama sebelum pengungkapan publik.

Mengapa pengungkapan kerentanan penting dalam kripto?

Pengungkapan kerentanan penting karena kerentanan kripto dapat secara langsung memengaruhi dana pengguna, treasury protokol, smart contract, bridge, wallet, dan sistem governance.

Apakah pengungkapan kerentanan sama dengan bug bounty?

Tidak. Pengungkapan kerentanan adalah proses pelaporan dan respons, sedangkan bug bounty adalah program reward untuk laporan keamanan yang valid.

Apa yang harus disertakan dalam laporan kerentanan kripto?

Laporan harus mencantumkan sistem terdampak, dampak, langkah reproduksi, bukti proof of concept, detail chain atau kontrak, serta rekomendasi aman tanpa merugikan pengguna.

Haruskah peneliti langsung mengungkapkan bug smart contract secara publik?

Biasanya tidak, karena detail eksploitasi publik dapat membantu penyerang mencuri dana sebelum proyek dapat melindungi pengguna.

Apa itu responsible disclosure?

Responsible disclosure biasanya berarti melaporkan kerentanan secara privat dan memberi tim yang terdampak waktu untuk memperbaikinya sebelum detail publik dirilis.

Apa itu full disclosure?

Full disclosure berarti membagikan detail kerentanan secara publik, baik segera maupun setelah batas waktu tertentu.

Apa itu kebijakan pengungkapan kerentanan?

Kebijakan pengungkapan kerentanan memberi tahu peneliti apa yang termasuk cakupan, cara melaporkan masalah, pengujian yang diizinkan, dan cara pengungkapan akan ditangani.

Apa itu security.txt?

Security.txt adalah format file terstandarisasi yang membantu organisasi memublikasikan informasi kontak pelaporan kerentanan dan praktik pengungkapan.

Apa itu whitehat dalam kripto?

Whitehat adalah peneliti keamanan yang berupaya melindungi pengguna dan sistem dengan melaporkan kerentanan atau membantu pertahanan yang diizinkan.

Apa itu safe harbor?

Safe harbor adalah ketentuan kebijakan atau hukum yang memberi perlindungan lebih jelas bagi peneliti beritikad baik ketika mereka mengikuti aturan yang ditetapkan.

Apakah whitehat dapat memindahkan dana protokol selama eksploitasi?

Whitehat hanya boleh melakukannya jika secara jelas diizinkan oleh safe harbor, proses darurat, atau izin sah lainnya karena pemindahan dana tanpa otorisasi dapat menimbulkan risiko hukum.

Apakah audit smart contract menggantikan pengungkapan kerentanan?

Tidak. Audit mengurangi risiko sebelum penerapan, sedangkan pengungkapan menangani kerentanan yang ditemukan setelah penerapan atau di luar periode audit.

Apakah DAO memerlukan kebijakan pengungkapan kerentanan?

Ya. DAO memerlukan jalur pelaporan privat yang jelas, aturan kewenangan darurat, prosedur penanda tangan, dan ekspektasi pengungkapan publik.

Apa yang terjadi setelah kerentanan diperbaiki?

Proyek harus mengomunikasikan dampak bagi pengguna, memublikasikan postmortem atau advisory apabila aman, memberi kredit kepada peneliti jika sesuai, dan meningkatkan kontrol.

Apakah pengungkapan kerentanan dapat berupa penipuan?

Ya. Penyerang dapat mengirim laporan palsu, file berbahaya, pesan pemerasan, atau tautan phishing, sehingga proyek harus melakukan triage laporan dengan aman.

Bagaimana proses pengungkapan kerentanan terbaik untuk proyek Web3?

Proses terbaik mencakup saluran pelaporan yang jelas, cakupan yang ditentukan, triage cepat, penilaian tingkat keparahan, aturan bug bounty, ketentuan safe harbor, respons darurat, dan postmortem yang transparan.

Kesimpulan

Pengungkapan Kerentanan adalah proses keamanan inti bagi industri kripto.

Proses ini memberi peneliti cara aman untuk melaporkan kelemahan sebelum penyerang mengeksploitasinya.

Proses ini memberi tim protokol jalur terstruktur untuk mengonfirmasi, memperbaiki, memitigasi, dan mengomunikasikan masalah keamanan.

Proses ini memberi pengguna perlindungan lebih besar dan informasi yang lebih baik tentang sistem yang mungkin menyimpan aset mereka.

Dalam Web3, pengungkapan lebih mendesak dibandingkan di banyak lingkungan perangkat lunak tradisional karena kode yang rentan dapat langsung mengendalikan dana aktif.

Bug smart contract, kelemahan bridge, masalah wallet, kelemahan oracle, bug governance, atau kompromi frontend dapat menimbulkan kerugian serius dengan sangat cepat.

Karena itu, proyek kripto memerlukan kebijakan pengungkapan yang jelas, kontak keamanan, program bug bounty, alur kerja triage, rencana darurat, dan praktik postmortem.

DAO dan protokol DeFi juga memerlukan jalur koordinasi privat karena governance yang sepenuhnya publik dapat mengungkap detail berbahaya sebelum perbaikan siap.

Whitehat memerlukan saluran pelaporan yang aman dan kejelasan hukum.

Pengguna memerlukan komunikasi yang jujur setelah risiko dikurangi.

Tim keamanan memerlukan kewenangan yang cukup untuk bertindak cepat.

Pengungkapan kerentanan bukan tanda bahwa suatu proyek lemah.

Ini adalah tanda bahwa proyek cukup matang untuk menghadapi realitas keamanan.

Sederhananya, proyek kripto terbaik tidak berpura-pura bahwa kerentanan tidak akan pernah terjadi.

Mereka mempersiapkannya, menerima laporan beritikad baik, memperbaiki masalah dengan cepat, dan mengungkapkannya secara jelas ketika pengguna sudah terlindungi.