Primes aux bugs de Glamsterdam
La mise à niveau Glamsterdam sera incluse dans le programme une fois que ses versions candidates (release candidates) seront annoncées sur le blog de la Fondation Ethereum (s'ouvre dans un nouvel onglet). Les spécifications de Glamsterdam et les propositions d'amélioration d'Ethereum (EIP) sont déjà incluses avec un multiplicateur de 0,5×.
Les règles spéciales et les multiplicateurs ci-dessous ne s'appliquent qu'aux bugs spécifiques à la mise à niveau Glamsterdam. Les chercheurs doivent cibler les dernières branches instables des clients et vérifier les tickets et les pull requests existants. Les bugs déjà couverts par un ticket ou une pull request ouverte ne sont pas éligibles.
Les clients publiés, les propositions d'amélioration d'Ethereum (EIP) et les spécifications sont désormais inclus dans le programme, conformément à l<a>article de blog</a>.
Multiplicateurs de récompense
- 0,5× : De la publication de l'article de blog sur la version candidate jusqu'à la mise à niveau prévue du réseau de test Sepolia. Les découvertes de gravité moyenne, élevée et critique sont incluses. Les spécifications de Glamsterdam et les propositions d'amélioration d'Ethereum (EIP) sont déjà éligibles à ce multiplicateur.
- 2,0× : À partir de 24 heures après que l'époque de la mise à niveau de Sepolia soit finalisée jusqu'à la mise à niveau Hoodi. Les découvertes de gravité faible, moyenne, élevée et critique sont incluses.
- 1,5× : De la mise à niveau Hoodi jusqu'à une semaine avant la mise à niveau prévue du Réseau principal. Les découvertes de gravité faible, moyenne, élevée et critique sont incluses.
Le multiplicateur sera déterminé par le moment où un rapport est soumis, et non par le moment où le bug a été découvert. Les montants de récompense indiqués ailleurs sur cette page sont les plafonds standards ; les multiplicateurs de Glamsterdam ajustent ces plafonds et ne garantissent pas l'attribution d'une récompense.
Les découvertes de Glamsterdam de faible gravité ne reçoivent pas de récompenses pendant la fenêtre de 0,5×. L'éligibilité est basée sur la gravité validée.
Les dates de mise à niveau sont sujettes à modification.
Les règles des primes aux bugs existantes continuent de s'appliquer aux rapports sur Glamsterdam. Tous les rapports non liés à Glamsterdam suivent les règles normales de soumission des primes aux bugs.
Clients inclus dans les primes
Dans le périmètre
Notre programme de primes aux bugs s'étend de bout en bout : de la solidité des protocoles (tels que le modèle de consensus de la chaîne de blocs, les protocoles filaires et pair à pair, la preuve d'enjeu, etc.) et la conformité du protocole/de l'implémentation à la sécurité du réseau et à l'intégrité du consensus. La sécurité classique des clients ainsi que la sécurité des primitives cryptographiques font également partie du programme. Toutes les divulgations de bugs et soumissions de vulnérabilités doivent être effectuées via notre formulaire de soumission de bugs (s'ouvre dans un nouvel onglet).
La Fast Confirmation Rule (s'ouvre dans un nouvel onglet) fait désormais partie du programme de primes aux bugs.
Bugs de clients
Les clients font fonctionner le réseau Ethereum, et ils doivent suivre la logique définie dans les spécifications et être sécurisés contre les attaques potentielles. Les bugs que nous voulons trouver sont liés à l'implémentation du protocole.
Actuellement, les clients de la couche d'exécution (Besu, Erigon, Geth, Nethermind et Reth) et les clients de la couche de consensus (Grandine, Lighthouse, Lodestar, Nimbus, Prysm et Teku) sont inclus dans le programme de primes aux bugs.
Types de bugs
- Problèmes de non-conformité aux spécifications
- Plantages inattendus, exécution de code à distance (RCE) ou vulnérabilités de déni de service (DOS)
- Tout problème provoquant des scissions de consensus irréparables avec le reste du réseau
Liens utiles
Bugs de compilateur de langage
Les compilateurs Solidity et Vyper font partie du programme de primes aux bugs. Veuillez inclure tous les détails nécessaires pour reproduire la vulnérabilité, tels que : le programme d'entrée qui déclenche le bug, la version du compilateur affectée, la version de l'EVM cible, le framework/IDE le cas échéant, l'environnement d'exécution/client EVM le cas échéant et le système d'exploitation. Veuillez inclure les étapes pour reproduire le bug que vous avez trouvé avec autant de détails que possible.
Solidity et Vyper n'offrent pas de garanties de sécurité concernant la compilation d'entrées non fiables – et nous n'accordons pas de récompenses pour les plantages du compilateur sur des données générées de manière malveillante.
Liens utiles
Qualifications de la gravité des vulnérabilités
La gravité est évaluée en fonction de la capacité unique de chaque vulnérabilité découverte à faire ce qui suit :
Soumettre un bug
Classement des primes aux bugs de la couche d'exécution
Trouvez des bugs de la couche d'exécution pour être ajouté à ce classement
Classement des primes aux bugs de la couche de consensus
Trouvez des bugs de la couche de consensus pour être ajouté à ce classement
Foire aux questions
Soumettre de manière anonyme ou avec un pseudonyme est autorisé, mais vous rendra inéligible aux récompenses en ETH/DAI. Pour être éligible aux récompenses en ETH/DAI, nous exigeons que votre vrai nom et une preuve de votre identité soient envoyés, chiffrés à l'aide de PGP sur notre site de dépôt sécurisé, à notre équipe juridique de la Fondation Ethereum, qui sont les seuls examinateurs de la documentation. Faire don de votre prime à une œuvre caritative ne nécessite pas votre identité.
Veuillez nous faire savoir si vous ne souhaitez pas que votre nom/pseudo soit affiché sur le classement.