受け付け中
報奨金があるクライアント
対象範囲
私たちのバグ報奨金プログラ ムは、プロトコルの健全性(ブロックチェーンのコンセンサスモデル、ワイヤーやP2Pプロトコル、プルーフ・オブ・ステークなど)やプロトコル/実装のコンプライアンスからネットワークセキュリティやコンセンサスの完全性まで、エンドツーエンドを対象としています。クラシックのクライアントのセキュリティや、暗号論的プリミティブのセキュリティもプログラムの一部です。疑問点がある場合は、bounty@ethereum.orgまでメールにてお問い合わせください。
仕様のバグ
イーサリアムの仕様には、実行レイヤとコンセンサスレイヤの設計根拠が詳述されています。
実行レイヤ仕様
以下の注釈を確認すると有用です:
バグの種類
- 安全性/ファイナリティ・ブレイクバグ
- サービス拒否(DOS)ベクトル
- 誠実なバリデータがスラッシングされる状況など、前提条件における矛盾
- 計算またはパラメータの不一致
クライアントのバグ
クライアントはイーサリアムネットワークを実行し、仕様に定められたロジック に従い、潜在的な攻撃から保護する必要があります。探し出したいバグは、プロトコルの実装に関連するものです。
現在、実行レイヤークライアント(Besu、Erigon、Geth、Nethermind)とコンセンサスレイヤークライアント(Lighthouse、Lodestar、Nimbus、Teku、Prysm)がバグ報償金プログラムに含まれています。 監査が終わり本番環境へのリリースができるようになると、他のクライアントも追加される場合があります。
バグの種類
- 仕様不適合の問題
- 予期しないクラッシュ、RCEまたはサービス拒否(DOS)攻撃の脆弱性
- ネットワークに対して修復できないコンセンサスの分裂を引き起こす問題
Solidityのバグ
このスコープに含まれることの詳細については、Solidity SECURITY.MDを参照してください。
Solidityは、信頼されていない入力のコンパイルに関してセキュリティを保証しません。Solcコンパイラが悪意を持って生成されたデータでクラッシュした場合には報酬は支払われません。
参考リンク
SECURITY.md
デポジットコントラクトのバグ
ビーコンチェーンのデポジットコントラクトの仕様とソースコードは、バグ報奨金プログラムの一部です。
対象範囲外
バグ報奨金プログラムの対象となるのは、「対象範囲」に記載されているもののみです。つまり、例えばウェブページ、DNS、メールなどのインフラは報奨の対象外となります。ERC20コントラクトのバグは、通常、報奨の対象には含まれません。ただし、そのような場合、イーサリアム・ファウンデーションは、作者や取引所など、影響を受ける関係者への働きかけを支援します。ENSはENSファウンデーションによって管理されており、報酬範囲には含まれていません。
バグを投稿
有効なバグを発見するごとに、報酬を獲得することができます。獲得できる報酬料は、深刻度によって異なります。深刻度は、イーサリアムネットワークへの影響度と可能性に基づくOWASPリスク評価モデルに従って計算されます。 OWASPメソッドを表示
また、EFは以下に基づいて報酬を付与します。
記述の品質: 明瞭で良く書かれた投稿には、より高い報酬が支払われます。
再現性の品質: 報酬の対象となるには、POC (Proof of Concept) を含める必要があります。テストコード、スクリプト、詳細な手順を添付してください。脆弱性の再現と検証が容易であればあるほど、報酬は高くなります。
修正の品質(修正が含まれている場合): 問題の 解決方法を明確に記述したものに対して、より高い報酬が支払われます。
低
最大2,000米ドル
最大1,000ポイント
重大度
- 影響度: 低、可能性: 中
- 影響度: 中、可能性: 低
例
中
最大10,000米ドル
最大5,000ポイント
重大度
- 影響度: 高、可能性: 低
- 影響度: 中、可能性: 中
- 影響度: 低、可能性: 高
例
高
最大50,000米ドル
最大10,000ポイント
重大度
- 影響度: 高、可能性: 中
- 影響度: 中、可能性: 高
例
重大
最大250,000米ドル
最大25,000ポイント
重大度
- 影響度: 高、可能性: 高
例
バグハンティングのルール
バグ報奨金プログラムは、アクティブなイーサリアムコミュニティの実験的で裁量的な報酬プログラムで、プラットフォーム改善の支援者を奨励し、報酬を付与するものです。これは競争ではありません。コミュニティはいつでもプログラムをキャンセル権利を有し、報酬はイーサリアム・ファウンデーションバグ報奨金パネルの独自の裁量により決められます。加えて、制裁対象者または制裁対象国(北朝鮮、イランなど)の個人に対して、報酬を出すことはできません。現地の法律により、身元の証明を求めることが義務付けられています。税金はすべて、プログラムの参加者が負担するものとし、報酬は適用法の対象となります。最後に、テストはすべての適用法に準拠して行う必要があり、自分自身のものではないデータを 侵害せずに、ローカルで実行するテストネット上でテストする必要があります。
- POCがない問題、すでに他のユーザーによって提出されている問題、または仕様やクライアント管理者が既知のバグは、報酬の対象にはなりません。
- 脆弱性を公開すると、報奨金の対象になりません。
- 報奨金プログラム主催者内にあるイーサリアム・ファウンデーションまたはクライアントチームの従業員および委託者は、ポイントが付与されるプログラムのみに参加することができ、金銭的な報酬を受け取ることはありません。
- イーサリアム報奨金プログラムは、報酬を決定する際に数点を考慮します。 資格、スコア、報酬に関するすべての条件の決定は、イーサリアム・ファウンデーションバグ報奨金パネルの独自かつ最終的な裁量に委ねられています。
実行レイヤーのバグ報奨金リーダーボード
実行レイヤーのバグを見つけてリーダーボードに入賞
- 11
- 13
- 49
コンセンサスレイヤのバグ報奨金リーダーボード
コンセンサスレイヤーのバグを見つけてリーダーボードに入賞
- 13
よくある質問
ご質問
メールでのお問い合わせ: bounty@ethereum.org
