Ouvert aux soumissions
Programme de primes aux bugs
Gagnez jusqu'à 1 000 000 USD et une place dans le classement en trouvant des bugs de protocole, de client et de compilateur de langage affectant le réseau Ethereum.
Clients inclus dans les primes
Dans le périmètre
Notre programme de primes aux bugs s'étend de bout en bout : de la solidité des protocoles (tels que le modèle de consensus de la chaîne de blocs, les protocoles filaires et pair à pair, la preuve d'enjeu, etc.) et la conformité du protocole/de l'implémentation à la sécurité du réseau et à l'intégrité du consensus. La sécurité classique des clients ainsi que la sécurité des primitives cryptographiques font également partie du programme. Toutes les divulgations de bugs et soumissions de vulnérabilités doivent être effectuées via notre formulaire de soumission de bugs (opens in a new tab).
Bugs de clients
Les clients font fonctionner le réseau Ethereum, et ils doivent suivre la logique définie dans les spécifications et être sécurisés contre les attaques potentielles. Les bugs que nous voulons trouver sont liés à l'implémentation du protocole.
Actuellement, les clients de la couche d'exécution (Besu, Erigon, Geth, Nethermind et Reth) et les clients de la couche de consensus (Lighthouse, Lodestar, Nimbus, Teku et Prysm) sont inclus dans le programme de primes aux bugs.
Types de bugs
- Problèmes de non-conformité aux spécifications
- Plantages inattendus, exécution de code à distance (RCE) ou vulnérabilités de déni de service (DOS)
- Tout problème provoquant des scissions de consensus irréparables avec le reste du réseau
Liens utiles
Bugs de compilateur de langage
Les compilateurs Solidity et Vyper font partie du programme de primes aux bugs. Veuillez inclure tous les détails nécessaires pour reproduire la vulnérabilité, tels que : le programme d'entrée qui déclenche le bug, la version du compilateur affectée, la version de l'EVM cible, le framework/IDE le cas échéant, l'environnement d'exécution/client EVM le cas échéant et le système d'exploitation. Veuillez inclure les étapes pour reproduire le bug que vous avez trouvé avec autant de détails que possible.
Solidity et Vyper n'offrent pas de garanties de sécurité concernant la compilation d'entrées non fiables – et nous n'accordons pas de récompenses pour les plantages du compilateur sur des données générées de manière malveillante.
Liens utiles
Qualifications de la gravité des vulnérabilités
La gravité est évaluée en fonction de la capacité unique de chaque vulnérabilité découverte à faire ce qui suit :
- Appliquer une réduction à >0,01 % des validateurs
- Provoquer facilement des scissions du réseau affectant >0,01 % du réseau
- Être capable de faire tomber >0,01 % du réseau en envoyant un seul paquet réseau ou une transaction onchain
- Appliquer une réduction à >1 % des validateurs
- Provoquer facilement des scissions du réseau affectant >5 % du réseau
- Être capable de faire tomber >5 % du réseau en envoyant un seul paquet réseau ou une transaction onchain
- Appliquer une réduction à >33 % des validateurs
- Provoquer facilement des scissions du réseau affectant >33 % du réseau
- Être capable de faire tomber >33 % du réseau en envoyant une seule transaction onchain
- Appliquer une réduction à >50 % des validateurs
- Exploiter un bug d'EIP/spécification ou de client pour créer facilement une quantité infinie d'ETH qui est finalisée par le réseau
- Voler des ETH de tous les EOA
- Brûler des ETH de tous les EOA
- Faire tomber l'ensemble du réseau en envoyant une seule transaction onchain malveillante qui finit par faire planter tous les clients
Soumettre un bug
Critique
Jusqu'à 1 000 000 USD
Jusqu'à 25 000 points
Soumettre un bug à risque critique (opens in a new tab)Classement des primes aux bugs de la couche d'exécution
Trouvez des bugs de la couche d'exécution pour être ajouté à ce classement
Classement des primes aux bugs de la couche de consensus
Trouvez des bugs de la couche de consensus pour être ajouté à ce classement
Foire aux questions
Aucune date de fin n'est actuellement fixée. Consultez le blog de la Fondation Ethereum (opens in a new tab) pour les dernières nouvelles.
Les récompenses sont payées en ETH ou en DAI après la validation de la soumission, généralement quelques jours plus tard. Les lois locales nous obligent à demander une preuve de votre identité. De plus, nous aurons besoin de votre adresse ETH.
Nous pouvons faire don de votre récompense à une organisation caritative reconnue de votre choix.
Nous nous efforçons de répondre aux soumissions le plus rapidement possible. En raison de l'augmentation des soumissions générées par l'IA, veuillez nous accorder jusqu'à une semaine pour répondre à votre soumission.
Soumettre de manière anonyme ou avec un pseudonyme est autorisé, mais vous rendra inéligible aux récompenses en ETH/DAI. Pour être éligible aux récompenses en ETH/DAI, nous exigeons que votre vrai nom et une preuve de votre identité soient envoyés, chiffrés à l'aide de PGP sur notre site de dépôt sécurisé, à notre équipe juridique de la Fondation Ethereum, qui sont les seuls examinateurs de la documentation. Faire don de votre prime à une œuvre caritative ne nécessite pas votre identité.
Veuillez nous faire savoir si vous ne souhaitez pas que votre nom/pseudo soit affiché sur le classement.
Chaque vulnérabilité / problème trouvé se voit attribuer un score. Les chasseurs de primes sont classés dans notre classement en fonction de leur nombre total de points.
Dernière mise à jour de la page : 20 mai 2026
