Bug Bounty di Glamsterdam
L'aggiornamento Glamsterdam rientrerà nell'ambito una volta che le sue release candidate saranno annunciate sul blog della Fondazione Ethereum (si apre in una nuova scheda). Le specifiche di Glamsterdam e le Proposte di Miglioramento di Ethereum (EIP) sono già incluse con un moltiplicatore di 0,5×.
Le regole speciali e i moltiplicatori di seguito si applicano solo ai bug specifici dell'aggiornamento Glamsterdam. I ricercatori dovrebbero puntare agli ultimi rami instabili dei client e verificare la presenza di issue e pull request esistenti. I bug già coperti da una issue aperta o da una pull request non sono idonei.
I client rilasciati, le EIP e le specifiche rientrano ora nell'ambito, come indicato nel post del blog (si apre in una nuova scheda).
Moltiplicatori delle ricompense
- 0,5×: Dalla pubblicazione del post sul blog della release candidate fino all'aggiornamento programmato della testnet Sepolia. I rilevamenti di gravità Media, Alta e Critica rientrano nell'ambito. Le specifiche di Glamsterdam e le EIP sono già idonee per questo moltiplicatore.
- 2,0×: Da 24 ore dopo la finalizzazione dell'epoca dell'aggiornamento di Sepolia fino all'aggiornamento Hoodi. I rilevamenti di gravità Bassa, Media, Alta e Critica rientrano nell'ambito.
- 1,5×: Dall'aggiornamento Hoodi fino a una settimana prima dell'aggiornamento programmato della Mainnet. I rilevamenti di gravità Bassa, Media, Alta e Critica rientrano nell'ambito.
Il moltiplicatore sarà determinato dal momento in cui viene inviata una segnalazione, non da quando il bug è stato scoperto. Gli importi delle ricompense mostrati altrove in questa pagina sono i limiti standard; i moltiplicatori di Glamsterdam adeguano tali limiti e non garantiscono un premio.
I rilevamenti su Glamsterdam a bassa gravità non ricevono ricompense durante la finestra dello 0,5×. L'idoneità si basa sulla gravità convalidata.
Le date degli aggiornamenti sono soggette a modifiche.
Le regole del bug bounty esistenti continuano ad applicarsi alle segnalazioni su Glamsterdam. Tutte le segnalazioni non correlate a Glamsterdam seguono le normali regole di invio del bug bounty.
Client inclusi nelle ricompense
In ambito
Il nostro programma bug bounty copre tutto il processo: dalla solidità dei protocolli (come il modello di consenso della blockchain, i protocolli wire e p2p, la Proof-of-Stake (PoS), ecc.) e la conformità del protocollo/implementazione, fino alla sicurezza della rete e all'integrità del consenso. Anche la sicurezza classica dei client e la sicurezza delle primitive crittografiche fanno parte del programma. Tutte le divulgazioni di bug e le segnalazioni di vulnerabilità devono essere effettuate tramite il nostro modulo di invio bug (si apre in una nuova scheda).
La Fast Confirmation Rule (si apre in una nuova scheda) è ora inclusa nel Programma Bug Bounty.
Bug dei client
I client eseguono la rete Ethereum e devono seguire la logica stabilita nelle specifiche, oltre a essere sicuri contro potenziali attacchi. I bug che vogliamo trovare sono relativi all'implementazione del protocollo.
Attualmente i client del livello di esecuzione (Besu, Erigon, Geth, Nethermind e Reth) e i client del livello di consenso (Grandine, Lighthouse, Lodestar, Nimbus, Prysm e Teku) sono inclusi nel Programma Bug Bounty.
Tipi di bug
- Problemi di non conformità alle specifiche
- Arresti anomali imprevisti, vulnerabilità di esecuzione di codice in modalità remota (RCE) o di negazione del servizio (DOS)
- Qualsiasi problema che causi divisioni irreparabili del consenso dal resto della rete
Link utili
Bug dei compilatori di linguaggio
I compilatori Solidity e Vyper rientrano nell'ambito del programma bug bounty. Includi tutti i dettagli necessari per riprodurre la vulnerabilità, come: programma di input che innesca il bug, versione del compilatore interessata, versione EVM di destinazione, framework/IDE se applicabile, ambiente di esecuzione/client EVM se applicabile e sistema operativo. Includi i passaggi per riprodurre il bug che hai trovato nel modo più dettagliato possibile.
Solidity e Vyper non offrono garanzie di sicurezza riguardo alla compilazione di input non attendibili e non emettiamo ricompense per gli arresti anomali del compilatore su dati generati in modo dannoso.
Link utili
Qualifiche di gravità delle vulnerabilità
La gravità viene valutata in base alla capacità unica di ciascuna vulnerabilità scoperta di fare quanto segue:
Resource-exhaustion impact assumes Ethereum's recommended node hardware (EIP-7870 (si apre in una nuova scheda)).
Invia un bug
Classifica Bug Bounty del livello di esecuzione
Trova bug del livello di esecuzione per essere aggiunto a questa classifica
Classifica Bug Bounty del livello di consenso
Trova bug del livello di consenso per essere aggiunto a questa classifica
Domande frequenti
Inviare una segnalazione in modo anonimo o con uno pseudonimo va bene, ma ti renderà non idoneo per le ricompense in ETH/DAI. Per essere idoneo alle ricompense in ETH/DAI, richiediamo che il tuo vero nome e una prova della tua identità vengano inviati, crittografati tramite PGP sul nostro sito web di deposito sicuro, al nostro team legale presso la Fondazione Ethereum, che sono gli unici revisori della documentazione. Donare la tua ricompensa in beneficenza non richiede la tua identità.
Facci sapere se non desideri che il tuo nome/nickname venga visualizzato nella classifica.