Vai al contenuto principale

Aperto alle segnalazioni

Programma di ricerca dei bug

Guadagna fino a 250.000 USD e un posto in classifica trovando bug nel protocollo, nel client e in Solidity, che interessano la rete di Ethereum.

Segnala un bug(opens in a new tab)Leggi le regole
Vedi le classifiche complete

Client presenti nei bounty

In ambito

Il nostro programma di caccia ai bug si estende end-to-end: dalla solidità dei protocolli (come il modello di consenso della blockchain, i protocolli via cavo e p2p, il proof-of-stake, ecc.) e la conformità dei protocolli/di implementazione, fino alla sicurezza della rete e all'integrità del consenso. Anche la sicurezza classica del client, nonché dei primitivi crittografici, fanno parte del programma. Per qualsiasi dubbio, contattaci via email a bounty@ethereum.org. Inoltre, puoi inviare una comunicazione/vulnerabilità direttamente a bounty@ethereum.org(opens in a new tab), nel qual caso ti chediamo di crittografare il messaggio utilizzando la nostra Chiave PGP(opens in a new tab)

Bug delle specifiche

Le Specifiche di Ethereum descrivono in dettaglio la logica di progettazione per il Livello di Esecuzione e il Livello di Consenso.

Specifiche del Livello di Consenso(opens in a new tab)
Specifiche del Livello di Esecuzione(opens in a new tab)

Può essere utile consultare le seguenti annotazioni:

Tipi di bug

  • Bug di sicurezza/compromissione della finalità
  • Vettori denial of service (DOS)
  • Incongruenze nelle ipotesi, come situazioni in cui validatori onesti possono essere sanzionati
  • Incongruenze di calcolo o dei parametri

Documenti di specifica

Bug dei client

I client eseguono la Rete Ethereum e devono seguire la logica stabilita nella specifica ed essere al sicuro da potenziali attacchi. I bug che vogliamo trovare sono legati all'implementazione del protocollo.

Al momento, i client del livello d'esecuzione (Besu, Erigon, Geth e Nethermind) e i client del livello di consenso (Lighthouse, Lodestar, Nimbus, Teku e Prysm) sono inclusi nel Programma di Caccia ai Bug. Potrebbero esserne aggiunti di altri al completamento dei rispettivi controlli, e loro entrata in produzione. Al momento, anche c-kzg-4844(opens in a new tab) e go-kzg-4844(opens in a new tab) sono inclusi nel programma di caccia ai bug.

Tipi di bug

  • Problemi di non-conformità della specifica
  • Crash imprevisti, RCE o vulnerabilità di tipo denial of service (DOS)
  • Ogni questione che causa una divisione irreparabile del consenso dal resto della rete

Bug di Solidity

Vedi SECURITY.MD di Solidity per ulteriori dettagli su cos'è incluso in questo ambito.

Solidity non possiede garanzie di sicurezza relative alla compilazione di input non attendibili e noi non forniamo ricompense per i crash del compilatore solc su dati generati in modo malevolo.

Bug del contratto di deposito

Le specifiche e il codice sorgente del contratto di deposito della Beacon Chain sono parte del programma di ricerca dei bug.

Dependency bugs

Certain dependencies are crucial for the Ethereum Network to function, and some of these have been added to the bug bounty program. Currently, the list of dependencies included in the bug bounty program are C-KZG-4844 and Go-KZG-4844.

Fuori ambito

Solo gli obiettivi elencati come 'In ambito' sono parte del Programma di ricerca dei bug. Questo significa che, ad esempio, la nostra infrastruttura – come pagine web, dns, email, ecc. – non rientra nell'ambito del bug bounty. I bug del contratto ERC20 non sono tipicamente inclusi nell'ambito del bug bounty. Tuttavia, in questi casi possiamo aiutare a contattare le parti colpite, come autori o borse. ENS è mantenuto dalla fondazione ENS e non rientra nell'ambito del bug bounty. Le vulnerabilità che richiedono che l'utente abbia esposto pubblicamente un'API, come JSON-RPC o l'API Beacon, sono fuori dall'ambito di applicazione della ricompensa.

Segnala un bug

Per ogni bug valido che trovi, riceverai delle ricompense. La quantità di ricompense riconosciute varierà in base alla Gravità. La gravità è calcolata secondo il modello di valutazione dei rischi OWASP, basato sull'Impatto sulla Rete Ethereum e sulla Probabilità. Visualizza metodo OWASP(opens in a new tab)

La EF fornirà anche ricompense in base a:

Qualità della descrizione: sono riconosciute ricompense più elevate per comunicazioni chiare e ben scritte.

Qualità della riproducibilità: per essere idonei a ricevere ricompense occorre includere una proof of concept (POC). Si prega di includere il codice di test, script e istruzioni dettagliate. Più facile sarà per noi riprodurre e verificare la vulnerabilità, maggiore sarà la ricompensa.

Qualità della correzione, se inclusa: sono riconosciute ricompense più elevate per comunicazioni con descrizioni chiare di come correggere il problema.

Fino a 2.000 USD

Basso

Fino a 2.000 USD

Fino a 1.000 punti


Gravità

  • Impatto basso, probabilità media
  • Impatto medio, probabilità bassa

Esempio

Un utente malintenzionato potrebbe impostare un nodo su uno stato che faccia fallire un'attestazione su cento attestazioni eseguite da un validatore
Segnala bug a rischio basso(opens in a new tab)
Fino a 10.000 USD

Medio

Fino a 10.000 USD

Fino a 5.000 punti


Gravità

  • Impatto alto, probabilità bassa
  • Impatto medio, probabilità media
  • Impatto basso, probabilità alta

Esempio

Un utente malintenzionato può condurre con successo attacchi eclipse su nodi con Id peer aventi byte a 4 zeri iniziali
Segnala bug a rischio medio(opens in a new tab)
Fino a 50.000 USD

Alto

Fino a 50.000 USD

Fino a 10.000 punti


Gravità

  • Impatto alto, probabilità media
  • Impatto medio, alta probabilità

Esempio

Gli utenti malintenzionati possono eseguire correttamente la partizione di grandi parti della rete, ed è banale che un utente malintenzionato inneschi la vulnerabilità
Invia bug a rischio alto(opens in a new tab)
Fino a 250.000 USD

Critico

Fino a 250.000 USD

Fino a 25.000 punti


Gravità

  • Impatto alto, alta probabilità

Esempio

L'utente malintenzionato può condurre con successo l'esecuzione del codice da remoto in un client di maggioranza ed è banale che un utente malintenzionato inneschi la vulnerabilità
Invia bug a rischio critico(opens in a new tab)

Regole per la ricerca di bug

Il programma di ricerca dei bug è un programma sperimentale e discrezionale di ricompense per la nostra community attiva di Ethereum per incoraggiare e premiare coloro che stanno aiutando a migliorare la piattaforma. Non è una competizione. Dovresti sapere che possiamo annullare il programma in qualsiasi momento e le ricompense sono a esclusiva discrezione della commissione bug bounty dell'Ethereum Foundation. Inoltre, non siamo in grado di assegnare riconoscimenti a persone che sono presenti negli elenchi delle sanzioni o che si trovano in paesi inclusi negli elenchi delle sanzioni (ad es. Corea del Nord, Iran, ecc.). Le leggi locali ci impongono di chiedere una prova della tua identità. Sei responsabile di tutte le imposte. Tutte le ricompense sono soggette al diritto applicabile. Infine, i tuoi test non devono violare alcuna legge o compromettere dati che non sono tuoi e devono aver luogo su reti di prova locali in esecuzione.

  • I problemi senza una POC, già inviati da un altro utente o già noti ai responsabili della manutenzione delle specifiche e dei client non verranno considerati ai fini delle ricompense del bounty.
  • La divulgazione pubblica di una vulnerabilità o la sua segnalazione ad altre parti senza previo accordo la rende non idonea per una caccia ai bug.
  • Dipendenti e professionisti della Ethereum Foundation o dei team del client nell'ambito del programma bounty possono partecipare al programma solo nella maturazione di punti e non riceveranno ricompense finanziarie.
  • Il programma bounty di Ethereum prende in considerazione un certo numero di variabili per determinare le ricompense. Le decisioni in materia di ammissibilità, punteggio e tutti i termini relativi a una ricompensa sono a discrezione esclusiva e finale della commissione bug bounty della Ethereum Foundation.

Classifica dei cercatori di bug sul livello di esecuzione

Trova bug del livello di esecuzione per esser aggiunto a questa classifica

Classifica dei cercatori di bug sul livello di consenso

Trova bug del livello di consenso per esser aggiunto a questa classifica

Domande frequenti

Domande?

Scrivici: bounty@ethereum.org(opens in a new tab)

Questa pagina è stata utile?

Ultimo aggiornamento sito web: 10 luglio 2024

Impara

  • Learn Hub
  • Cos'è Ethereum?
  • Cos'è Ether (ETH)?
  • Portafogli Ethereum
  • Cos'è il Web3?
  • Contratti intelligenti
  • Gas fees
  • Esegui un nodo
  • Sicurezza di Ethereum e prevenzione delle truffe
  • Hub del quiz
  • Glossario di Ethereum

Partecipa

(opens in a new tab)(opens in a new tab)(opens in a new tab)
  • Chi siamo
  • Risorse del marchio di Ethereum
  • Codice di condotta
  • Opportunità di lavoro
  • Politica sulla privacy
  • Condizioni d'uso
  • Politica sui cookie
  • Contatti Ufficio Stampa(opens in a new tab)