Aperto per le candidature
Programma Bug Bounty
Guadagna fino a 1.000.000 USD e un posto in classifica trovando bug del protocollo, dei client e dei compilatori di linguaggio che interessano la rete Ethereum.
Client inclusi nelle ricompense
In ambito
Il nostro programma bug bounty copre tutto il processo: dalla solidità dei protocolli (come il modello di consenso della blockchain, i protocolli wire e p2p, la Proof-of-Stake (PoS), ecc.) e la conformità del protocollo/implementazione, fino alla sicurezza della rete e all'integrità del consenso. Anche la sicurezza classica dei client e la sicurezza delle primitive crittografiche fanno parte del programma. Tutte le divulgazioni di bug e le segnalazioni di vulnerabilità devono essere effettuate tramite il nostro modulo di invio bug (opens in a new tab).
Bug dei client
I client eseguono la rete Ethereum e devono seguire la logica stabilita nelle specifiche, oltre a essere sicuri contro potenziali attacchi. I bug che vogliamo trovare sono relativi all'implementazione del protocollo.
Attualmente i client del livello di esecuzione (Besu, Erigon, Geth, Nethermind e Reth) e i client del livello di consenso (Lighthouse, Lodestar, Nimbus, Teku e Prysm) sono inclusi nel Programma Bug Bounty.
Tipi di bug
- Problemi di non conformità alle specifiche
- Arresti anomali imprevisti, vulnerabilità di esecuzione di codice in modalità remota (RCE) o di negazione del servizio (DOS)
- Qualsiasi problema che causi divisioni irreparabili del consenso dal resto della rete
Link utili
Bug dei compilatori di linguaggio
I compilatori Solidity e Vyper rientrano nell'ambito del programma bug bounty. Includi tutti i dettagli necessari per riprodurre la vulnerabilità, come: programma di input che innesca il bug, versione del compilatore interessata, versione EVM di destinazione, framework/IDE se applicabile, ambiente di esecuzione/client EVM se applicabile e sistema operativo. Includi i passaggi per riprodurre il bug che hai trovato nel modo più dettagliato possibile.
Solidity e Vyper non offrono garanzie di sicurezza riguardo alla compilazione di input non attendibili e non emettiamo ricompense per gli arresti anomali del compilatore su dati generati in modo malevolo.
Link utili
Qualifiche di gravità delle vulnerabilità
La gravità viene valutata in base alla capacità unica di ciascuna vulnerabilità scoperta di fare quanto segue:
- Slashing dello >0.01% dei validatori
- Causare banalmente divisioni della rete che interessano lo >0.01% della rete
- Essere in grado di abbattere lo >0.01% della rete inviando un singolo pacchetto di rete o una transazione onchain
- Slashing dell<strong>1%</strong> dei validatori
- Causare banalmente divisioni della rete che interessano il >5% della rete
- Essere in grado di abbattere il >5% della rete inviando un singolo pacchetto di rete o una transazione onchain
- Slashing del >33% dei validatori
- Causare banalmente divisioni della rete che interessano il >33% della rete
- Essere in grado di abbattere il >33% della rete inviando una singola transazione onchain
- Slashing del >50% dei validatori
- Sfruttare un bug di un'EIP/specifica o di un client per creare facilmente una quantità infinita di ETH che viene finalizzata dalla rete
- Rubare ETH da tutti gli EOA
- Bruciare ETH da tutti gli EOA
- Abbattere l'intera rete inviando una singola transazione onchain dannosa che finisce per mandare in crash tutti i client
Invia un bug
Classifica Bug Bounty del livello di esecuzione
Trova bug del livello di esecuzione per essere aggiunto a questa classifica
Classifica Bug Bounty del livello di consenso
Trova bug del livello di consenso per essere aggiunto a questa classifica
Domande frequenti
Al momento non è impostata alcuna data di fine. Consulta il blog della Fondazione Ethereum (opens in a new tab) per le ultime notizie.
Le ricompense vengono pagate in ETH o DAI dopo che l'invio è stato convalidato, di solito qualche giorno dopo. Le leggi locali ci impongono di richiedere una prova della tua identità. Inoltre, avremo bisogno del tuo indirizzo ETH.
Possiamo donare la tua ricompensa a un'organizzazione di beneficenza riconosciuta di tua scelta.
Puntiamo a rispondere alle segnalazioni il più velocemente possibile. A causa dell'aumento delle segnalazioni generate dall'IA, ti preghiamo di attendere fino a una settimana per ricevere una risposta alla tua segnalazione.
Inviare una segnalazione in modo anonimo o con uno pseudonimo va bene, ma ti renderà non idoneo per le ricompense in ETH/DAI. Per essere idoneo alle ricompense in ETH/DAI, richiediamo che il tuo vero nome e una prova della tua identità vengano inviati, crittografati tramite PGP sul nostro sito web di deposito sicuro, al nostro team legale presso la Fondazione Ethereum, che sono gli unici revisori della documentazione. Donare la tua ricompensa in beneficenza non richiede la tua identità.
Facci sapere se non desideri che il tuo nome/nickname venga visualizzato nella classifica.
A ogni vulnerabilità / problema riscontrato viene assegnato un punteggio. I cacciatori di taglie sono classificati nella nostra classifica in base ai punti totali.
Ultimo aggiornamento della pagina: 20 maggio 2026
