このページは翻訳されていないため、このページは英語で表示されています。
受け付け中
バグ報酬プログラム
報奨金があるクライアント
私たちのバグ報奨金プログラムは、プロトコルの健全性(ブロックチェーンのコンセンサスモデル、ワイヤーやP2Pプロトコル、プルーフ・オブ・ステークなど)やプロトコル/実装のコンプライアンスからネットワークセキュリティやコンセンサスの完全性まで、エンドツーエンドを対象としています。クラシックのクライアントのセキュリティや、暗号論的プリミティブのセキュリティもプログラムの一部です。疑問点がある場合は、bounty@ethereum.orgまでメールにてお問い合わせください。
イーサリアムの仕様には、実行レイヤとコンセンサスレイヤの設計根拠が詳述されています。
以下の注釈を確認すると有用です:
クライアントはイーサリアムネットワークを実行し、仕様に定められたロジックに従い、潜在的な攻撃から保護する必要があります。探し出したいバグは、プロトコルの実装に関連するものです。
現在、実行レイヤークライアント(Besu、Erigon、Geth、Nethermind)とコンセンサスレイヤークライアント(Lighthouse、Lodestar、Nimbus、Teku、Prysm)がバグ報償金プログラムに含まれています。 監査が終わり本番環境へのリリースができるようになると、他のクライアントも追加される場合があります。
このスコープに含まれることの詳細については、Solidity SECURITY.MDを参照してください。
Solidityは、信頼されていない入力のコンパイルに関してセキュリティを保証しません。Solcコンパイラが悪意を持って生成されたデータでクラッシュした場合には報酬は支払われません。
ビーコンチェーンのデポジットコントラクトの仕様とソースコードは、バグ報奨金プログラムの対象です。
バグ報奨金プログラムの対象となるのは、「対象範囲」に記載されているもののみです。つまり、例えばウェブページ、DNS、メールなどのインフラは報奨の対象外となります。ERC20コントラクトのバグは、通常、報奨の対象には含まれません。ただし、そのような場合、イーサリアム・ファウンデーションは、作者や取引所など、影響を受ける関係者への働きかけを支援します。ENSはENSファウンデーションによって管理されており、報酬範囲には含まれていません。
有効なバグを発見するごとに、報酬を獲得することができます。獲得できる報酬料は、深刻度によって異なります。深刻度は、イーサリアムネットワークへの影響度と可能性に基づくOWASPリスク評価モデルに従って計算されます。 OWASPメソッドを表示
また、EFは以下に基づいて報酬を付与します。
記述の品質: 明瞭で良く書かれた投稿には、より高い報酬が支払われます。
再現性の品質: 報酬の対象となるには、POC (Proof of Concept) を含める必要があります。テストコード、スクリプト、詳細な手順を添付してください。脆弱性の再現と検証が容易であればある ほど、報酬は高くなります。
修正の品質(修正が含まれている場合): 問題の解決方法を明確に記述したものに対して、より高い報酬が支払われます。
最大2,000米ドル
最大1,000ポイント
重大度
例
最大10,000米ドル
最大5,000ポイント
重大度
例
最大50,000米ドル
最大10,000ポイント
重大度
例
最大250,000米ドル
最大25,000ポイント
重大度
例
バグ報奨金プログラムは、アクティブなイーサリアムコミュニティの実験的で裁量的な報酬プログラムで、プラットフォーム改善の支援者を奨励し、報酬を付与するものです。これは競争ではありません。コミュニティはいつでもプログラムをキャンセル権利を有し、報酬はイーサリアム・ファウンデーションバグ報奨金パネルの独自の裁量により決められます。加えて、制裁対象 者または制裁対象国(北朝鮮、イランなど)の個人に対して、報酬を出すことはできません。現地の法律により、身元の証明を求めることが義務付けられています。税金はすべて、プログラムの参加者が負担するものとし、報酬は適用法の対象となります。最後に、テストはすべての適用法に準拠して行う必要があり、自分自身のものではないデータを侵害せずに、ローカルで実行するテストネット上でテストする必要があります。
実行レイヤーのバグを見つけてリーダーボードに入賞
コンセンサスレイヤーのバグを見つけてリーダーボードに入賞
メールでのお問い合わせ: bounty@ethereum.org