글램스테르담 버그 바운티
글램스테르담 업그레이드는 이더리움 재단 블로그 (새 탭에서 열림)에 릴리스 후보가 발표되면 범위에 포함될 예정입니다. 글램스테르담 사양 및 EIP는 이미 0.5배의 승수로 범위에 포함되어 있습니다.
아래의 특별 규칙 및 승수는 글램스테르담 업그레이드와 관련된 버그에만 적용됩니다. 연구자들은 최신 불안정(unstable) 클라이언트 브랜치를 대상으로 해야 하며, 기존 이슈 및 풀 리퀘스트를 확인해야 합니다. 열려 있는 이슈나 풀 리퀘스트에서 이미 다루고 있는 버그는 대상에서 제외됩니다.
블로그 게시물 (새 탭에서 열림)에 따라 릴리스된 클라이언트, EIP 및 사양이 이제 범위에 포함됩니다.
보상 승수
- 0.5배: 릴리스 후보 블로그 게시물 발행부터 예정된 Sepolia 테스트넷 업그레이드 전까지. 중간(Medium), 높음(High), 심각(Critical) 수준의 발견 사항이 범위에 포함됩니다. 글램스테르담 사양 및 EIP는 이미 이 승수의 적용 대상입니다.
- 2.0배: Sepolia 업그레이드 에포크가 완결된 후 24시간이 지난 시점부터 Hoodi 업그레이드 전까지. 낮음(Low), 중간(Medium), 높음(High), 심각(Critical) 수준의 발견 사항이 범위에 포함됩니다.
- 1.5배: Hoodi 업그레이드부터 예정된 메인넷 업그레이드 1주일 전까지. 낮음(Low), 중간(Medium), 높음(High), 심각(Critical) 수준의 발견 사항이 범위에 포함됩니다.
승수는 버그가 발견된 시점이 아니라 보고서가 제출된 시점을 기준으로 결정됩니다. 이 페이지의 다른 곳에 표시된 보상 금액은 표준 한도이며, 글램스테르담 승수는 해당 한도를 조정할 뿐 보상 지급을 보장하지는 않습니다.
낮은 심각도의 글램스테르담 발견 사항은 0.5배 기간 동안 보상을 받지 못합니다. 자격 요건은 검증된 심각도를 기준으로 합니다.
업그레이드 날짜는 변경될 수 있습니다.
기존 버그 바운티 규칙은 글램스테르담 보고서에도 계속 적용됩니다. 글램스테르담과 관련 없는 모든 보고서는 일반적인 버그 바운티 제출 규칙을 따릅니다.
바운티 대상 클라이언트
범위 내
우리의 버그 바운티 프로그램은 프로토콜의 건전성(블록체인 합의 모델, 와이어 및 p2p 프로토콜, 지분 증명 (PoS) 등)과 프로토콜/구현 준수부터 네트워크 보안 및 합의 무결성에 이르기까지 엔드투엔드로 포괄합니다. 고전적인 클라이언트 보안과 암호화 기본 요소의 보안도 프로그램의 일부입니다. 모든 버그 공개 및 취약점 제출은 버그 제출 양식 (새 탭에서 열림)을 통해 이루어져야 합니다.
이제 빠른 확인 규칙(Fast Confirmation Rule) (새 탭에서 열림)이 버그 바운티 프로그램의 범위에 포함됩니다.
클라이언트 버그
클라이언트는 이더리움 네트워크를 실행하며, 사양에 명시된 로직을 따르고 잠재적인 공격으로부터 안전해야 합니다. 우리가 찾고자 하는 버그는 프로토콜의 구현과 관련된 것입니다.
현재 실행 계층 클라이언트(베수, 에리곤, Geth, 네더마인드, 레스) 및 합의 레이어 클라이언트(Grandine, 라이트하우스, 로드스타, 님버스, 프리즘, 테쿠)가 버그 바운티 프로그램에 포함되어 있습니다.
버그 유형
- 사양 불일치 문제
- 예기치 않은 충돌, RCE 또는 서비스 거부(DOS) 취약점
- 네트워크의 나머지 부분과 돌이킬 수 없는 합의 분할을 일으키는 모든 문제
유용한 링크
언어 컴파일러 버그
Solidity 및 Vyper 컴파일러는 버그 바운티 프로그램의 범위에 포함됩니다. 버그를 유발하는 입력 프로그램, 영향을 받는 컴파일러 버전, 대상 EVM 버전, 프레임워크/IDE(해당하는 경우), EVM 실행 환경/클라이언트(해당하는 경우) 및 운영 체제 등 취약점을 재현하는 데 필요한 모든 세부 정보를 포함해 주세요. 발견한 버그를 재현하는 단계를 가능한 한 자세히 포함해 주시기 바랍니다.
Solidity 및 Vyper는 신뢰할 수 없는 입력의 컴파일과 관련하여 보안을 보장하지 않으며, 악의적으로 생성된 데이터로 인한 컴파일러 충돌에 대해서는 보상을 지급하지 않습니다.
유용한 링크
취약점 심각도 기준
심각도는 발견된 각 취약점이 다음과 같은 결과를 초래할 수 있는 고유한 능력을 기준으로 평가됩니다:
버그 제출하기
실행 계층 버그 바운티 리더보드
실행 계층 버그를 찾아 이 리더보드에 이름을 올리세요
합의 레이어 버그 바운티 리더보드
합의 레이어 버그를 찾아 이 리더보드에 이름을 올리세요
자주 묻는 질문
익명이나 가명으로 제출해도 괜찮지만, ETH/DAI 보상 대상에서는 제외됩니다. ETH/DAI 보상을 받으려면 실명과 신원 증명을 보안 드롭 웹사이트에서 PGP로 암호화하여 문서를 단독으로 검토하는 이더리움 재단 법무팀에 보내야 합니다. 바운티를 자선 단체에 기부하는 경우에는 신원 증명이 필요하지 않습니다.
리더보드에 이름/닉네임이 표시되는 것을 원하지 않으시면 알려주세요.