グラムステルダム・バグバウンティ
グラムステルダム・アップグレードは、そのリリース候補がイーサリアム財団のブログ （新しいタブで開きます）で発表された時点で対象となります。グラムステルダムの仕様とイーサリアム改善提案（EIP）は、すでに0.5倍の乗数で対象となっています。
以下の特別ルールと乗数は、グラムステルダム・アップグレードに特有のバグにのみ適用されます。リサーチャーは、最新の不安定なクライアントのブランチをターゲットにし、既存のイシューやプルリクエストを確認する必要があります。オープンなイシューやプルリクエストですでにカバーされているバグは対象外です。
ブログ記事 （新しいタブで開きます）にある通り、リリースされたクライアント、イーサリアム改善提案（EIP）、および仕様が対象になりました。
報酬の乗数
- 0.5倍: リリース候補のブログ記事の公開から、予定されているSepoliaテストネットのアップグレードまで。中、高、およびクリティカルな発見が対象です。グラムステルダムの仕様とイーサリアム改善提案（EIP）は、すでにこの乗数の対象となっています。
- 2.0倍: Sepoliaアップグレードのエポックがファイナライズ済みとなってから24時間後から、Hoodiアップグレードまで。低、中、高、およびクリティカルな発見が対象です。
- 1.5倍: Hoodiアップグレードから、予定されているメインネットのアップグレードの1週間前まで。低、中、高、およびクリティカルな発見が対象です。
乗数は、バグが発見された時点ではなく、レポートが提出された時点によって決定されます。このページの他の場所に表示されている報酬額は標準の上限です。グラムステルダムの乗数はこれらの上限を調整するものであり、報酬を保証するものではありません。
深刻度が低いグラムステルダムの発見は、0.5倍の期間中は報酬を受け取れません。資格は検証された深刻度に基づきます。
アップグレードの予定日は変更される場合があります。
既存のバグバウンティのルールは、引き続きグラムステルダムのレポートに適用されます。グラムステルダムに関連しないすべてのレポートは、通常のバグバウンティ提出ルールに従います。
バウンティ対象のクライアント
対象範囲
私たちのバグバウンティ・プログラムは、プロトコルの健全性（ブロックチェーンのコンセンサスモデル、ワイヤーおよびp2pプロトコル、プルーフ・オブ・ステーク（PoS）など）やプロトコル/実装の準拠から、ネットワークのセキュリティやコンセンサスの完全性まで、エンドツーエンドに及びます。古典的なクライアントのセキュリティや暗号プリミティブのセキュリティもプログラムの一部です。すべてのバグの開示および脆弱性の報告は、バグ報告フォーム （新しいタブで開きます）を通じて行う必要があります。
Fast Confirmation Rule （新しいタブで開きます）がバグバウンティ・プログラムの対象になりました。
クライアントのバグ
クライアントはイーサリアム・ネットワークを実行しており、仕様に定められたロジックに従い、潜在的な攻撃に対して安全である必要があります。私たちが発見したいバグは、プロトコルの実装に関連するものです。
現在、実行レイヤーのクライアント（ベス、エリゴン、ゴー・イーサリアム（ゲス）、ネザーマインド、レス）およびコンセンサス・レイヤーのクライアント（Grandine、ライトハウス、ロードスター、ニンバス、プリズム、テク）がバグバウンティ・プログラムに含まれています。
バグの種類
- 仕様への非準拠の問題
- 予期しないクラッシュ、RCE、またはサービス拒否（DoS）の脆弱性
- ネットワークの他の部分から修復不可能なコンセンサスの分裂を引き起こす問題
役立つリンク
言語コンパイラのバグ
SolidityおよびVyperのコンパイラは、バグバウンティ・プログラムの対象です。バグを引き起こす入力プログラム、影響を受けるコンパイラのバージョン、ターゲットとなるEVMのバージョン、該当する場合はフレームワーク/IDE、該当する場合はEVM実行環境/クライアント、およびオペレーティングシステムなど、脆弱性を再現するために必要なすべての詳細を含めてください。発見したバグを再現する手順をできるだけ詳細に記載してください。
SolidityおよびVyperは、信頼できない入力のコンパイルに関するセキュリティ保証を持っていません。また、悪意を持って生成されたデータによるコンパイラのクラッシュに対しては報酬を発行しません。
役立つリンク
脆弱性の深刻度の基準
深刻度は、発見された各脆弱性が以下の事象を引き起こす固有の能力に基づいて評価されます。
バグを報告する
実行レイヤーのバグバウンティ・リーダーボード
実行レイヤーのバグを発見して、このリーダーボードに掲載されましょう
コンセンサス・レイヤーのバグバウンティ・リーダーボード
コンセンサス・レイヤーのバグを発見して、このリーダーボードに掲載されましょう
よくある質問
匿名または仮名での提出は可能ですが、ETH/DAIの報酬の対象外となります。ETH/DAIの報酬を受け取るには、本名と身分証明書を、当社の安全なドロップウェブサイト上でPGPを使用して暗号化し、イーサリアム財団の法務チーム（文書の唯一の審査担当）に送信していただく必要があります。報奨金を慈善団体に寄付する場合は、身元を明かす必要はありません。
リーダーボードに名前やニックネームを表示したくない場合は、お知らせください。