Glamsterdam Bug Bounty
Upgrade Glamsterdam bude zahrnut do programu, jakmile budou na blogu Nadace Ethereum (otevře se v nové záložce) oznámeni jeho kandidáti na vydání. Specifikace Glamsterdam a Návrhy na vylepšení Etherea (EIP) jsou již zahrnuty s násobitelem 0,5×.
Níže uvedená zvláštní pravidla a násobitele se vztahují pouze na chyby specifické pro upgrade Glamsterdam. Výzkumníci by se měli zaměřit na nejnovější nestabilní větve klientů a zkontrolovat existující problémy (issues) a pull requesty. Chyby, které jsou již pokryty otevřeným problémem nebo pull requestem, nemají na odměnu nárok.
Vydaní klienti, Návrhy na vylepšení Etherea (EIP) a specifikace jsou nyní zahrnuty do programu, jak je uvedeno v příspěvku na blogu (otevře se v nové záložce).
Násobitele odměn
- 0,5×: Od zveřejnění příspěvku na blogu o kandidátovi na vydání do plánovaného upgradu testnetu Sepolia. Zahrnuty jsou středně závažné, vysoce závažné a kritické nálezy. Specifikace Glamsterdam a Návrhy na vylepšení Etherea (EIP) již mají na tento násobitel nárok.
- 2,0×: Od 24 hodin po finalizaci epochy upgradu sítě Sepolia do upgradu Hoodi. Zahrnuty jsou nálezy s nízkou, střední, vysokou a kritickou závažností.
- 1,5×: Od upgradu Hoodi do jednoho týdne před plánovaným upgradem sítě Mainnet. Zahrnuty jsou nálezy s nízkou, střední, vysokou a kritickou závažností.
Násobitel bude určen podle toho, kdy je hlášení odesláno, nikoli kdy byla chyba objevena. Částky odměn uvedené jinde na této stránce jsou standardní limity; násobitele pro Glamsterdam tyto limity upravují a nezaručují udělení odměny.
Nálezy pro Glamsterdam s nízkou závažností nezískávají odměny během okna s násobitelem 0,5×. Nárok je založen na ověřené závažnosti.
Data upgradů se mohou změnit.
Stávající pravidla programu Bug Bounty se nadále vztahují na hlášení týkající se upgradu Glamsterdam. Všechna hlášení, která s upgradem Glamsterdam nesouvisí, se řídí běžnými pravidly pro odesílání do programu Bug Bounty.
Klienti zahrnutí do odměn
V rozsahu
Náš program Bug Bounty pokrývá vše od začátku do konce: od spolehlivosti protokolů (jako je model konsensu blockchainu, síťové a p2p protokoly, důkaz podílem (PoS) atd.) a souladu protokolu/implementace až po bezpečnost sítě a integritu konsensu. Součástí programu je také klasická bezpečnost klientů a bezpečnost kryptografických primitiv. Všechna odhalení chyb a hlášení zranitelností musí být provedena prostřednictvím našeho formuláře pro nahlášení chyby (otevře se v nové záložce).
Pravidlo rychlého potvrzení (otevře se v nové záložce) je nyní součástí programu Bug Bounty.
Chyby klientů
Klienti provozují síť Ethereum a musí dodržovat logiku stanovenou ve specifikaci a být zabezpečeni proti potenciálním útokům. Chyby, které chceme najít, se týkají implementace protokolu.
V současné době jsou do programu Bug Bounty zahrnuti klienti exekuční vrstvy (Besu, Erigon, Ethrex, Geth, Nethermind a Reth) a klienti vrstvy konsensu (Grandine, Lighthouse, Lodestar, Nimbus, Prysm a Teku).
Typy chyb
- Problémy s nedodržením specifikace
- Neočekávané pády, RCE nebo zranitelnosti typu odepření služby (DOS)
- Jakékoli problémy způsobující nenapravitelné rozdělení konsensu od zbytku sítě
Užitečné odkazy
Chyby kompilátoru jazyka
Kompilátory Solidity a Vyper jsou součástí programu Bug Bounty. Uveďte prosím všechny podrobnosti nezbytné k reprodukci zranitelnosti, jako jsou: vstupní program, který chybu spouští, dotčená verze kompilátoru, cílová verze EVM, framework/IDE (pokud je relevantní), exekuční prostředí/klient EVM (pokud je relevantní) a operační systém. Uveďte prosím co nejpodrobnější kroky k reprodukci nalezené chyby.
Solidity a Vyper neposkytují bezpečnostní záruky ohledně kompilace nedůvěryhodného vstupu – a neudělujeme odměny za pády kompilátoru způsobené škodlivě vygenerovanými daty.
Užitečné odkazy
Kvalifikace závažnosti zranitelností
Závažnost se posuzuje na základě jedinečné schopnosti každé objevené zranitelnosti způsobit následující:
Dopad vyčerpání zdrojů předpokládá doporučený hardware uzlu Etherea (EIP-7870 (otevře se v nové záložce)).
Nahlásit chybu
Žebříček Bug Bounty exekuční vrstvy
Najděte chyby exekuční vrstvy a dostaňte se do tohoto žebříčku
Žebříček Bug Bounty vrstvy konsensu
Najděte chyby vrstvy konsensu a dostaňte se do tohoto žebříčku
Často kladené dotazy
Anonymní podání nebo podání pod pseudonymem je v pořádku, ale ztratíte tím nárok na odměny v ETH/DAI. Abyste měli nárok na odměny v ETH/DAI, požadujeme, abyste zaslali své skutečné jméno a doklad totožnosti, zašifrované pomocí PGP na našem zabezpečeném webu, našemu právnímu týmu v Nadaci Ethereum, který je jediným recenzentem této dokumentace. Darování vaší odměny na charitu nevyžaduje vaši totožnost.
Dejte nám prosím vědět, pokud nechcete, aby se vaše jméno/přezdívka zobrazovala v žebříčku.