Zum Hauptinhalt springen

Offen für Einreichungen

Bug-Bounty-Programm 

Verdienen Sie bis zu 1.000.000 USD und einen Platz auf der Bestenliste, indem Sie Protokoll-, Client- und Sprach-Compiler-Bugs finden, die das Ethereum-Netzwerk betreffen.

Einen Bug melden (öffnet in einem neuen Tab)
Regeln lesen
Vollständige Bestenlisten ansehen

Glamsterdam Bug Bounty

The Glamsterdam upgrade will be in scope once its release candidates are announced on the Ethereum Foundation blog (öffnet in einem neuen Tab). Glamsterdam specifications and EIPs are already in scope with a 0.5× multiplier.

The special rules and multipliers below only apply to bugs specific to the Glamsterdam upgrade. Researchers should target the latest unstable client branches and check for existing issues and pull requests. Bugs already covered by an open issue or pull request are not eligible.

For now, only the Glamsterdam specifications and EIPs are in scope. Clients are not yet eligible.

Reward multipliers

  • 0.5×: From publication of the release candidate blog post until the scheduled Sepolia testnet upgrade. Medium, High and Critical findings are in scope. Glamsterdam specifications and EIPs are already eligible for this multiplier.
  • 2.0×: From 24 hours after the Sepolia upgrade epoch finalizes until the Hoodi upgrade. Low, Medium, High and Critical findings are in scope.
  • 1.5×: From the Hoodi upgrade until one week before the scheduled mainnet upgrade. Low, Medium, High and Critical findings are in scope.

The multiplier will be determined by when a report is submitted, not when the bug was discovered. The reward amounts shown elsewhere on this page are the standard caps; Glamsterdam multipliers adjust those caps and do not guarantee an award.

Low-severity Glamsterdam findings do not receive rewards during the 0.5× window. Eligibility is based on validated severity.

Upgrade dates are subject to change.

The existing bug bounty rules continue to apply to Glamsterdam reports. All reports unrelated to Glamsterdam follow the normal bug bounty submission rules.

Im Bug-Bounty-Programm enthaltene Clients

item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo

Im Geltungsbereich

Unser Bug-Bounty-Programm erstreckt sich von Anfang bis Ende: von der Solidität der Protokolle (wie dem Blockchain-Konsensmodell, den Wire- und Peer-to-Peer-Protokollen, Proof-of-Stake usw.) und der Protokoll-/Implementierungskonformität bis hin zur Netzwerksicherheit und Konsensintegrität. Klassische Client-Sicherheit sowie die Sicherheit kryptografischer Primitive sind ebenfalls Teil des Programms. Alle Bug-Offenlegungen und Schwachstellenmeldungen müssen über unser Bug-Meldeformular (öffnet in einem neuen Tab) erfolgen.

Fast Confirmation Rule (öffnet in einem neuen Tab) is now in scope of the Bug Bounty Program.

Spezifikations-Bugs

Die Ethereum-Spezifikationen detaillieren die Entwurfsprinzipien für die Ausführungsschicht und die Konsensschicht.

Es könnte hilfreich sein, sich die folgenden Anmerkungen anzusehen:

Arten von Bugs

  • Bugs, die die Sicherheit/Endgültigkeit brechen
  • Denial-of-Service-Vektoren (DOS)
  • Inkonsistenzen in Annahmen, wie Situationen, in denen ehrliche Validatoren einem Slashing unterzogen werden können
  • Berechnungs- oder Parameterinkonsistenzen

Spezifikationsdokumente

Beacon Chain (öffnet in einem neuen Tab)
Fork-Auswahl (öffnet in einem neuen Tab)
Solidity-Einzahlungsvertrag (öffnet in einem neuen Tab)
Peer-to-Peer-Netzwerk (öffnet in einem neuen Tab)

Client-Bugs

Clients betreiben das Ethereum-Netzwerk und müssen der in der Spezifikation festgelegten Logik folgen sowie sicher gegen potenzielle Angriffe sein. Die Bugs, die wir finden möchten, beziehen sich auf die Implementierung des Protokolls.

Derzeit sind Clients der Ausführungsschicht (Besu, Erigon, Geth, Nethermind und Reth) und Clients der Konsensschicht (Lighthouse, Lodestar, Nimbus, Teku und Prysm) im Bug-Bounty-Programm enthalten.

Arten von Bugs

  • Probleme bei der Einhaltung der Spezifikation
  • Unerwartete Abstürze, RCE- oder Denial-of-Service-Schwachstellen (DOS)
  • Jegliche Probleme, die irreparable Konsens-Splits vom Rest des Netzwerks verursachen

Hilfreiche Links

Besu (öffnet in einem neuen Tab)
Erigon (öffnet in einem neuen Tab)
Geth (öffnet in einem neuen Tab)
Lighthouse (öffnet in einem neuen Tab)
Lodestar (öffnet in einem neuen Tab)
Nimbus (öffnet in einem neuen Tab)
Nethermind (öffnet in einem neuen Tab)
Prysm (öffnet in einem neuen Tab)
Reth (öffnet in einem neuen Tab)
Teku (öffnet in einem neuen Tab)
Grandine (öffnet in einem neuen Tab)

Sprach-Compiler-Bugs

Die Compiler für Solidity und Vyper fallen in den Geltungsbereich des Bug-Bounty-Programms. Bitte fügen Sie alle Details bei, die zur Reproduktion der Schwachstelle erforderlich sind, wie z. B.: Eingabeprogramm, das den Bug auslöst, betroffene Compiler-Version, Ziel-EVM-Version, Framework/IDE (falls zutreffend), EVM-Ausführungsumgebung/Client (falls zutreffend) und Betriebssystem. Bitte geben Sie die Schritte zur Reproduktion des gefundenen Bugs so detailliert wie möglich an.

Solidity und Vyper bieten keine Sicherheitsgarantien bezüglich der Kompilierung nicht vertrauenswürdiger Eingaben – und wir vergeben keine Belohnungen für Abstürze des Compilers bei böswillig generierten Daten.

Hilfreiche Links

Solidity (öffnet in einem neuen Tab)
Vyper (öffnet in einem neuen Tab)

Einzahlungsvertrag-Bugs

Die Spezifikationen und der Quellcode des Beacon Chain-Einzahlungsvertrags sind Teil des Bug-Bounty-Programms.

Hilfreiche Links

Abhängigkeits-Bugs

Bestimmte Abhängigkeiten sind für das Funktionieren des Ethereum-Netzwerks entscheidend, und einige davon wurden in das Bug-Bounty-Programm aufgenommen. Derzeit umfasst die Liste der im Bug-Bounty-Programm enthaltenen Abhängigkeiten C-KZG-4844 und Go-KZG-4844.

Hilfreiche Links

Nicht im Geltungsbereich

Nur die unter „Im Geltungsbereich“ aufgeführten Ziele sind Teil des Bug-Bounty-Programms. Schwachstellen, die sich NICHT für das Programm qualifizieren, umfassen:

  • ✕Infrastruktur-Bugs – wie Webseiten, DNS, E-Mail usw.*
  • ✕ERC-20-Vertrags-Bugs*
  • ✕Ethereum Naming Service (ENS)-Bugs (gepflegt von der ENS Foundation)
  • ✕Schwachstellen, die erfordern, dass der Benutzer eine API öffentlich zugänglich gemacht hat, wie z. B. JSON-RPC oder die Beacon-API
  • ✕EngineAPI gilt als vertrauenswürdig und ist nicht dafür gedacht, öffentlich zugänglich gemacht zu werden
  • ✕Tippfehler
  • ✕Tests
  • ✕Aufwendige (anhaltende, CPU- oder bandbreitenintensive und/oder mehr als 1 Paket oder Onchain-Transaktion erfordernde) Single-Peer-DoS-Angriffe
  • ✕Alle öffentlich bekannten Probleme (einschließlich Forenbeiträge, PRs, GitHub-Issues, Commits, Blogbeiträge, öffentliche Discord-Nachrichten usw.)
  • ✕Alles, was derzeit keine direkten Auswirkungen auf das Ethereum Mainnet hat.

*Diese sind nicht inbegriffen, wir können jedoch manchmal dabei helfen, betroffene Parteien zu kontaktieren

Regeln für die Bug-Suche

Das Bug-Bounty-Programm ist ein experimentelles und freiwilliges Belohnungsprogramm für unsere aktive Ethereum-Community, um diejenigen zu ermutigen und zu belohnen, die zur Verbesserung der Plattform beitragen. Es ist kein Wettbewerb. Sie sollten wissen, dass wir das Programm jederzeit abbrechen können und die Vergabe von Belohnungen im alleinigen Ermessen des Bug-Bounty-Gremiums der Ethereum Foundation liegt. Darüber hinaus können wir keine Belohnungen an Personen vergeben, die auf Sanktionslisten stehen oder sich in Ländern befinden, die auf Sanktionslisten stehen (z. B. Nordkorea, Iran usw.). Lokale Gesetze verlangen von uns, einen Identitätsnachweis anzufordern. Sie sind für alle Steuern verantwortlich. Alle Belohnungen unterliegen dem geltenden Recht. Schließlich dürfen Ihre Tests nicht gegen Gesetze verstoßen oder Daten gefährden, die nicht Ihnen gehören, und müssen auf lokal ausgeführten Testnets stattfinden.

  1. 1Probleme ohne einen POC (Proof of Concept) oder solche, die bereits von einem anderen Benutzer eingereicht wurden oder den Spezifikations- und Client-Betreuern bereits bekannt sind, haben keinen Anspruch auf Bug-Bounty-Belohnungen.
  2. 2Die öffentliche Offenlegung einer Schwachstelle oder die Meldung an Dritte ohne vorherige Zustimmung führt zum Ausschluss von einer Belohnung.
  3. 3Mitarbeiter, Auftragnehmer, Dienstleister oder Förderempfänger der Ethereum Foundation oder Mitglieder von Client-Teams, die in den Geltungsbereich des Bounty-Programms fallen, dürfen an dem Programm nur zum Sammeln von Punkten teilnehmen und erhalten während der entsprechenden Beziehung und für 90 Tage nach deren Beendigung keine finanziellen Belohnungen. Schwachstellen, die während eines dieser Zeiträume oder durch nicht öffentliche Informationen, die durch eine solche Beziehung erlangt wurden, entdeckt werden, bleiben von finanziellen Belohnungen ausgeschlossen, unabhängig davon, wann sie gemeldet werden.
  4. 4Das Ethereum-Bug-Bounty-Programm berücksichtigt bei der Festlegung von Belohnungen eine Reihe von Variablen. Die Bestimmung der Berechtigung, der Punktzahl und aller Bedingungen im Zusammenhang mit einer Belohnung liegt im alleinigen und endgültigen Ermessen des Bug-Bounty-Gremiums der Ethereum Foundation.

Einstufung des Schweregrads von Schwachstellen

Der Schweregrad wird basierend auf der spezifischen Fähigkeit jeder entdeckten Schwachstelle bewertet, Folgendes zu tun:

Niedriger Schweregrad
  • Slashing von >0,01 % der Validatoren
  • Triviales Verursachen von Netzwerk-Splits, die >0,01 % des Netzwerks betreffen
  • In der Lage sein, >0,01 % des Netzwerks durch das Senden eines einzigen Netzwerkpakets oder einer Onchain-Transaktion lahmzulegen
Mittlerer Schweregrad
  • Slashing von >1 % der Validatoren
  • Triviales Verursachen von Netzwerk-Splits, die >5 % des Netzwerks betreffen
  • In der Lage sein, >5 % des Netzwerks durch das Senden eines einzigen Netzwerkpakets oder einer Onchain-Transaktion lahmzulegen
Hoher Schweregrad
  • Slashing von >33 % der Validatoren
  • Triviales Verursachen von Netzwerk-Splits, die >33 % des Netzwerks betreffen
  • In der Lage sein, >33 % des Netzwerks durch das Senden einer einzigen Onchain-Transaktion lahmzulegen
Kritischer Schweregrad
  • Slashing von >50 % der Validatoren
  • Ausnutzen eines EIPs/Spezifikations- oder Client-Bugs, um auf einfache Weise eine unendliche Menge an ETH zu erstellen, die durch das Netzwerk endgültig gemacht wird
  • ETH stehlen von allen EOAs
  • ETH verbrennen von allen EOAs
  • Das gesamte Netzwerk lahmlegen durch das Senden einer einzigen bösartigen Onchain-Transaktion, die zum Absturz aller Clients führt

Einen Bug melden

Bis zu 2.000 USD

Gering

Bis zu 2.000 USD

Bis zu 1.000 Punkte

Bug mit geringem Risiko melden (öffnet in einem neuen Tab)
Bis zu 10.000 USD

Mittel

Bis zu 10.000 USD

Bis zu 5.000 Punkte

Bug mit mittlerem Risiko melden (öffnet in einem neuen Tab)
Bis zu 50.000 USD

Hoch

Bis zu 50.000 USD

Bis zu 10.000 Punkte

Bug mit hohem Risiko melden (öffnet in einem neuen Tab)
Bis zu 1.000.000 USD

Kritisch

Bis zu 1.000.000 USD

Bis zu 25.000 Punkte

Bug mit kritischem Risiko melden (öffnet in einem neuen Tab)

Bestenliste des Ausführungsschicht-Bug-Bounty-Programms

Finden Sie Bugs in der Ausführungsschicht, um in diese Bestenliste aufgenommen zu werden

Bestenliste des Konsensschicht-Bug-Bounty-Programms

Finden Sie Bugs in der Konsensschicht, um in diese Bestenliste aufgenommen zu werden

Häufig gestellte Fragen

Derzeit ist kein Enddatum festgelegt. Siehe den Blog der Ethereum Foundation (öffnet in einem neuen Tab) für die neuesten Nachrichten.

Belohnungen werden in ETH oder DAI ausgezahlt, nachdem die Einreichung validiert wurde, normalerweise ein paar Tage später. Lokale Gesetze verlangen von uns, einen Identitätsnachweis anzufordern. Zusätzlich benötigen wir deine ETH-Adresse.

Wir können deine Belohnung an eine anerkannte wohltätige Organisation deiner Wahl spenden.

Wir bemühen uns, so schnell wie möglich auf Einreichungen zu antworten. Aufgrund der Zunahme von KI-Einreichungen kann es jedoch bis zu einer Woche dauern, bis wir auf deine Einreichung antworten.

Eine anonyme Einreichung oder die Verwendung eines Pseudonyms ist in Ordnung, schließt dich jedoch von ETH/DAI-Belohnungen aus. Um für ETH/DAI-Belohnungen in Frage zu kommen, benötigen wir deinen echten Namen und einen Identitätsnachweis. Diese müssen mit PGP verschlüsselt über unsere sichere Drop-Website an das Rechtsteam der Ethereum Foundation gesendet werden, welches als einziges die Dokumentation überprüft. Wenn du deine Prämie an eine wohltätige Organisation spendest, ist kein Identitätsnachweis erforderlich.

Bitte lass uns wissen, falls du nicht möchtest, dass dein Name/Spitzname auf der Bestenliste angezeigt wird.

Jeder gefundenen Schwachstelle / jedem Problem wird eine Punktzahl zugewiesen. Bug-Bounty-Jäger werden auf unserer Bestenliste nach Gesamtpunktzahl eingestuft.