Abierto para envíos
Programa de recompensas por errores
Gane hasta 1.000.000 USD y un lugar en la tabla de clasificación al encontrar errores en el protocolo, el cliente y el compilador de lenguajes que afecten a la red Ethereum.
Clientes incluidos en las recompensas
Dentro del alcance
Nuestro programa de recompensas por errores abarca de principio a fin: desde la solidez de los protocolos (como el modelo de consenso de la cadena de bloques, los protocolos de red y entre pares, la prueba de participación, etc.) y el cumplimiento del protocolo/implementación hasta la seguridad de la red y la integridad del consenso. La seguridad clásica del cliente, así como la seguridad de las primitivas criptográficas, también forman parte del programa. Todas las divulgaciones de errores y envíos de vulnerabilidades deben realizarse a través de nuestro formulario de envío de errores (opens in a new tab).
Errores de cliente
Los clientes ejecutan la red Ethereum, y necesitan seguir la lógica establecida en la especificación y ser seguros contra posibles ataques. Los errores que queremos encontrar están relacionados con la implementación del protocolo.
Actualmente, los clientes de la capa de ejecución (Besu, Erigon, Geth, Nethermind y Reth) y los clientes de la capa de consenso (Lighthouse, Lodestar, Nimbus, Teku y Prysm) están incluidos en el Programa de recompensas por errores.
Tipos de errores
- Problemas de incumplimiento de la especificación
- Fallos inesperados, ejecución remota de código (RCE) o vulnerabilidades de denegación de servicio (DOS)
- Cualquier problema que cause divisiones irreparables de consenso con el resto de la red
Enlaces útiles
Errores del compilador de lenguajes
Los compiladores de Solidity y Vyper están dentro del alcance del programa de recompensas por errores. Por favor, incluya todos los detalles necesarios para reproducir la vulnerabilidad, tales como: programa de entrada que desencadena el error, versión del compilador afectada, versión de la EVM de destino, marco de trabajo/IDE si corresponde, entorno de ejecución/cliente de la EVM si corresponde y sistema operativo. Por favor, incluya los pasos para reproducir el error que ha encontrado con el mayor detalle posible.
Solidity y Vyper no ofrecen garantías de seguridad con respecto a la compilación de entradas no confiables, y no emitimos recompensas por fallos del compilador en datos generados maliciosamente.
Enlaces útiles
Calificaciones de gravedad de las vulnerabilidades
La gravedad se evalúa en función de la capacidad única de cada vulnerabilidad descubierta para hacer lo siguiente:
- Recortar al >0.01% de los validadores
- Causar trivialmente divisiones en la red que afecten al >0.01% de la red
- Ser capaz de derribar el >0.01% de la red enviando un solo paquete de red o una transacción en cadena
- Recortar al >1% de los validadores
- Causar trivialmente divisiones en la red que afecten al >5% de la red
- Ser capaz de derribar el >5% de la red enviando un solo paquete de red o una transacción en cadena
- Recortar al >33% de los validadores
- Causar trivialmente divisiones en la red que afecten al >33% de la red
- Ser capaz de derribar el >33% de la red enviando una sola transacción en cadena
- Recortar al >50% de los validadores
- Explotar un error en un EIP/especificación o cliente para crear fácilmente una cantidad infinita de ETH que sea finalizado por la red
- Robar ETH de todas las EOA
- Quemar ETH de todas las EOA
- Derribar toda la red enviando una sola transacción maliciosa en cadena que termine bloqueando todos los clientes
Enviar un error
Tabla de clasificación de recompensas por errores de la capa de ejecución
Encuentre errores en la capa de ejecución para que se le añada a esta tabla de clasificación
Tabla de clasificación de recompensas por errores de la capa de consenso
Encuentre errores en la capa de consenso para que se le añada a esta tabla de clasificación
Preguntas frecuentes
Actualmente no hay una fecha de finalización establecida. Consulta el blog de la Fundación Ethereum (opens in a new tab) para conocer las últimas noticias.
Las recompensas se pagan en ETH o DAI después de que se haya validado el envío, generalmente unos días más tarde. Las leyes locales nos exigen solicitar una prueba de tu identidad. Además, necesitaremos tu dirección de ETH.
Podemos donar tu recompensa a una organización benéfica establecida de tu elección.
Nuestro objetivo es responder a los envíos lo más rápido posible. Debido al aumento de envíos generados por IA, por favor espera hasta una semana para que respondamos a tu envío.
Enviar de forma anónima o con un seudónimo está bien, pero te hará inelegible para las recompensas en ETH/DAI. Para ser elegible para las recompensas en ETH/DAI, requerimos que envíes tu nombre real y una prueba de tu identidad, cifrados mediante PGP en nuestro sitio web seguro de entrega, a nuestro equipo legal en la Fundación Ethereum, quienes son los únicos revisores de la documentación. Donar tu recompensa a una organización benéfica no requiere tu identidad.
Por favor, avísanos si no quieres que tu nombre o apodo se muestre en la tabla de clasificación.
A cada vulnerabilidad o problema encontrado se le asigna una puntuación. Los cazadores de recompensas se clasifican en nuestra tabla de clasificación según el total de puntos.
Última actualización de la página: 20 de mayo de 2026
