Recompensas por errores de Glamsterdam
La actualización Glamsterdam estará dentro del alcance una vez que sus versiones candidatas se anuncien en el blog de la Fundación Ethereum (se abre en una pestaña nueva). Las especificaciones y las EIP de Glamsterdam ya están dentro del alcance con un multiplicador de 0.5×.
Las reglas especiales y los multiplicadores a continuación solo se aplican a los errores específicos de la actualización Glamsterdam. Los investigadores deben apuntar a las últimas ramas inestables de los clientes y comprobar si hay incidencias y solicitudes de extracción (pull requests) existentes. Los errores que ya están cubiertos por una incidencia o solicitud de extracción abierta no son elegibles.
Los clientes lanzados, las EIP y las especificaciones ahora están dentro del alcance, según la publicación del blog (se abre en una pestaña nueva).
Multiplicadores de recompensa
- 0.5×: Desde la publicación en el blog sobre la versión candidata hasta la actualización programada de la red de prueba Sepolia. Los hallazgos de gravedad media, alta y crítica están dentro del alcance. Las especificaciones y las EIP de Glamsterdam ya son elegibles para este multiplicador.
- 2.0×: Desde 24 horas después de que la época de actualización de Sepolia finalice hasta la actualización Hoodi. Los hallazgos de gravedad baja, media, alta y crítica están dentro del alcance.
- 1.5×: Desde la actualización Hoodi hasta una semana antes de la actualización programada de la red principal. Los hallazgos de gravedad baja, media, alta y crítica están dentro del alcance.
El multiplicador se determinará en función de cuándo se envíe un informe, no de cuándo se descubrió el error. Los montos de recompensa que se muestran en otras partes de esta página son los límites estándar; los multiplicadores de Glamsterdam ajustan esos límites y no garantizan una recompensa.
Los hallazgos de Glamsterdam de baja gravedad no reciben recompensas durante el periodo de 0.5×. La elegibilidad se basa en la gravedad validada.
Las fechas de actualización están sujetas a cambios.
Las reglas del programa de recompensas por errores existentes se siguen aplicando a los informes de Glamsterdam. Todos los informes no relacionados con Glamsterdam siguen las reglas normales de envío de recompensas por errores.
Clientes incluidos en las recompensas
Dentro del alcance
Nuestro programa de recompensas por errores abarca de principio a fin: desde la solidez de los protocolos (como el modelo de consenso de la cadena de bloques, los protocolos de red y entre pares, la prueba de participación, etc.) y el cumplimiento del protocolo/implementación hasta la seguridad de la red y la integridad del consenso. La seguridad clásica del cliente, así como la seguridad de las primitivas criptográficas, también forman parte del programa. Todas las divulgaciones de errores y envíos de vulnerabilidades deben realizarse a través de nuestro formulario de envío de errores (se abre en una pestaña nueva).
La regla de confirmación rápida (se abre en una pestaña nueva) ahora está dentro del alcance del programa de recompensas por errores.
Errores de cliente
Los clientes ejecutan la red Ethereum, y necesitan seguir la lógica establecida en la especificación y ser seguros contra posibles ataques. Los errores que queremos encontrar están relacionados con la implementación del protocolo.
Actualmente, los clientes de la capa de ejecución (Besu, Erigon, Geth, Nethermind y Reth) y los clientes de la capa de consenso (Grandine, Lighthouse, Lodestar, Nimbus, Prysm y Teku) están incluidos en el programa de recompensas por errores.
Tipos de errores
- Problemas de incumplimiento de la especificación
- Fallos inesperados, ejecución remota de código (RCE) o vulnerabilidades de denegación de servicio (DOS)
- Cualquier problema que cause divisiones irreparables de consenso con el resto de la red
Enlaces útiles
Errores del compilador de lenguajes
Los compiladores de Solidity y Vyper están dentro del alcance del programa de recompensas por errores. Por favor, incluya todos los detalles necesarios para reproducir la vulnerabilidad, tales como: programa de entrada que desencadena el error, versión del compilador afectada, versión de la EVM de destino, marco de trabajo/IDE si corresponde, entorno de ejecución/cliente de la EVM si corresponde y sistema operativo. Por favor, incluya los pasos para reproducir el error que ha encontrado con el mayor detalle posible.
Solidity y Vyper no ofrecen garantías de seguridad con respecto a la compilación de entradas no confiables, y no emitimos recompensas por fallos del compilador en datos generados maliciosamente.
Enlaces útiles
Calificaciones de gravedad de las vulnerabilidades
La gravedad se evalúa en función de la capacidad única de cada vulnerabilidad descubierta para hacer lo siguiente:
Enviar un error
Tabla de clasificación de recompensas por errores de la capa de ejecución
Encuentre errores en la capa de ejecución para que se le añada a esta tabla de clasificación
Tabla de clasificación de recompensas por errores de la capa de consenso
Encuentre errores en la capa de consenso para que se le añada a esta tabla de clasificación
Preguntas frecuentes
Enviar de forma anónima o con un seudónimo está bien, pero te hará inelegible para las recompensas en ETH/DAI. Para ser elegible para las recompensas en ETH/DAI, requerimos que envíes tu nombre real y una prueba de tu identidad, cifrados mediante PGP en nuestro sitio web seguro de entrega, a nuestro equipo legal en la Fundación Ethereum, quienes son los únicos revisores de la documentación. Donar tu recompensa a una organización benéfica no requiere tu identidad.
Por favor, avísanos si no quieres que tu nombre o apodo se muestre en la tabla de clasificación.