ETH Rangers: как децентрализованная защита спасла экосистему Ethereum

За шесть месяцев 17 независимых исследователей вернули $5,8 млн украденных средств, нашли 785+ уязвимостей и доказали: Web3 защищают не корпорации, а сообщество

Что произошло

Контекст: кто платит за безопасность, которой пользуются все?

Безопасность в Web3 давно страдает от классической проблемы общественного блага. Аудиторские компании работают за гонорары конкретных клиентов. Bug bounty платят только за найденные баги, но не за превентивную работу: написание образовательных материалов, разработку открытых инструментов, расследование угроз на уровне экосистемы.

Результат предсказуем: часть критически важной работы просто не финансируется. Исследователь, который тратит месяцы на анализ паттернов DPRK-хакеров или собирает базу данных эксплойтов, не получает ничего — даже если его работа потенциально защищает сотни протоколов.

Именно эту логику перевернула программа ETH Rangers. Вместо разовых выплат за конкретные находки — стипендии для людей с задокументированным треком вкладов в безопасность экосистемы. Вместо корпоративной иерархии — 17 независимых исследователей с разными специализациями.

Анатомия программы

Организаторы — Ethereum Foundation, Secureum, The Red Guild и Security Alliance (SEAL) — намеренно выбрали стипендиальную, а не грантовую модель. Критерии отбора: demonstrated track record значимых вкладов в безопасность, фокус на работе, которая приносит пользу экосистеме в целом, а не отдельным протоколам.

Программа стартовала в конце 2024 года и длилась шесть месяцев. 17 получателей стипендий работали независимо, но часто пересекались в задачах — что само по себе создало неформальную сеть обмена данными об угрозах.

Совокупные результаты по всем участникам:

• $5,8 млн возвращённых или замороженных средств
• 785+ уязвимостей, клиентских багов и proof-of-concept, задокументированных или переданных командам
• ~100 выявленных государственных операторов в более чем нескольких командах
• 209 000+ просмотров и пользователей, охваченных контентом по безопасности
• 800+ команд, вовлечённых в соревнования и расследования
• 80+ воркшопов, докладов и образовательных материалов
• 36+ обработанных инцидентов
• 7+ открытых репозиториев и инструментов

Три истории, которые объясняют масштаб

SunSec и DeFiHackLabs: образование как инфраструктура

SunSec вместе с сообществом DeFiHackLabs создал то, что можно назвать публичной библиотекой Web3-эксплойтов. Инцидент-эксплорер платформы сегодня охватывает более 620 proof-of-concept атак с разбором корневых причин.

Параллельно: конкурс PoC Summer Contest собрал 43 новых сабмишена от сообщества; шесть воркшопов в Корейском университете; партнёрство с HITCON CTF, привлёкшее 717 команд-участников; семь докладов на конференции COSCUP 2025. Один получатель стипендии — и сотни задействованных исследователей. Это и есть мультипликативный эффект, который сложно получить от корпоративной модели безопасности.

Ketman Project: охота на DPRK в блокчейне

Один из участников программы направил стипендию на масштабирование Ketman Project — расследования по выявлению северокорейских IT-работников, проникших в блокчейн-проекты под фиктивными личностями.

За шесть месяцев: контакт примерно с 53 проектами, идентификация около 100 DPRK-операторов внутри Web3-организаций. Параллельно разработан и выложен в открытый доступ инструмент gh-fake-analyzer для анализа GitHub-профилей на предмет подозрительных паттернов — сейчас он доступен на PyPI.

Совместно с SEAL подготовлен DPRK IT Workers Framework, ставший индустриальным стандартом. Данные переданы в проект Lazarus.group; работа была представлена на DEF CON.

Nick Bax: 36 инцидентов и 200 000 просмотров

Ник Бакс работал сразу на нескольких фронтах. Участие в более чем 36 тикетах SEAL 911 включало реагирование на инцидент с эксплойтом Loopscale — в итоге проект вернул $5,8 млн.

В рамках работы с DPRK-угрозой: уведомлены 30+ команд о найме северокорейских сотрудников, заморожены средства в шестизначном размере. Видео о схеме «Fake VC» набрало 200 000 просмотров на X — несколько руководителей крипто-компаний публично подтвердили, что оно помогло им избежать взлома.

Бакс также раскрыл уязвимость homoglyph-атаки, используемой группировкой ELUSIVE COMET для обхода Zoom, — баг был закрыт. Кроме того, он выступил на круглом столе Министерства финансов США по противодействию DPRK-хакерам и на конференции в штаб-квартире Интерпола.