В общем, я немножко посматривал на зарождающийся еще рынок РУ-бб, устроился на интересную работу, и все было неплохо в целом, но в плане бб – никак. Я, откровенно говоря, скучал по нему, но не видел для себя достойных вариантов.

И тут, читая как-то @webpwn чатик, наткнулся я на этот самый мем) И очень уж мне стало интересно: "Да кто такой этот ваш web3?!" Ну тупо заинтересовало, что же это за $1M, если честно, потому что мой уровень понимания веб3 был на абсолютном нуле. Но я где-то слышал, что крипта – это про биткойн. Короче, начал понемногу читать и разбираться.

В итоге, после нескольких месяцев изучения этой сферы, я осознал вот что:

1. Для меня ломание web3 оказалось намного интереснее стандартного бб. Все дело в том, что для поиска багов в смарт-контрактах нужно уметь читать код и думать. И все. Я, знаете ли, такой ретроград и велосипедостроитель в плане как ИБ, так и кодинга. Не люблю использовать готовые решения, эксплуатировать CVE, пользоваться тулзами, отслеживать новые типы атак. А что я люблю - это придумывать что-то свое, расковыривать в глубину, находить нестандартные подходы. Web3 - это как раз про это. Там есть открытые исходники с одной стороны, и исследователь - с другой. И больше ничего не нужно.

2. Обычный бб - это имхо больше имиджевая история для компании. Надо очень постараться, чтобы вспомнить случаи, когда эксплуатация блэками бага действительно серьезно вредили какой-то компании. Поэтому ценность бб заключается лишь в демонстрации ответственного поведения, а не в том, чтобы действительно защищать продукт от экзистенциальных угроз. Это не плохо и не хорошо, а просто такой факт, который я осознал однажды. Но в web3 все по-другому. Там почти любой medium+ баг - это потеря живых денег или другого имущества, которые очень часто приводят и к полному банкротству компаний, включая потерю клиентских денег. Поэтому ощущение ценности собственной работы в разы выше.

3. Есть множество компаний (хотя и не все), бб-политика которых предполагает нулевое знание персональных данных исследователя. Человек отправляет баг и прикладывает адрес кошелька. Если баг валидный - на этот кошелек переводится баунти. Никто не знает, из какой он страны, какой национальности, чем он (не)известен, что плохого и хорошего он сделал в жизни. Для меня именно такой должна быть бб (как и любая работа, вообще говоря). Потому что это про труд и вознаграждение, а не про политику, бюрократию и субъективные отношения.

Web3 бб - это сложно, но захватывающе и вознаграждающе. Минусов, правда, тоже прилично. Еще расскажу попозже.