Przejdź do głównej treści

Otwarte na zgłoszenia

Program Bug Bounty 

Zdobądź do 1 000 000 USD i miejsce w tabeli wyników, znajdując błędy w protokole, klientach i kompilatorach języków wpływające na sieć Ethereum.

Zgłoś błąd (otwiera się w nowej karcie)
Przeczytaj zasady
Zobacz pełne tabele wyników

Glamsterdam Bug Bounty

The Glamsterdam upgrade will be in scope once its release candidates are announced on the Ethereum Foundation blog (otwiera się w nowej karcie). Glamsterdam specifications and EIPs are already in scope with a 0.5× multiplier.

The special rules and multipliers below only apply to bugs specific to the Glamsterdam upgrade. Researchers should target the latest unstable client branches and check for existing issues and pull requests. Bugs already covered by an open issue or pull request are not eligible.

Reward multipliers

  • 0.5×: From publication of the release candidate blog post until the scheduled Sepolia testnet upgrade. Medium, High and Critical findings are in scope. Glamsterdam specifications and EIPs are already eligible for this multiplier.
  • 2.0×: From 24 hours after the Sepolia upgrade epoch finalizes until the Hoodi upgrade. Low, Medium, High and Critical findings are in scope.
  • 1.5×: From the Hoodi upgrade until one week before the scheduled mainnet upgrade. Low, Medium, High and Critical findings are in scope.

The multiplier will be determined by when a report is submitted, not when the bug was discovered. The reward amounts shown elsewhere on this page are the standard caps; Glamsterdam multipliers adjust those caps and do not guarantee an award.

Low-severity Glamsterdam findings do not receive rewards during the 0.5× window. Eligibility is based on validated severity.

Upgrade dates are subject to change.

The existing bug bounty rules continue to apply to Glamsterdam reports. All reports unrelated to Glamsterdam follow the normal bug bounty submission rules.

Klienci uwzględnieni w programie nagród

item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo

W zakresie

Nasz program Bug Bounty obejmuje wszystko od początku do końca: od solidności protokołów (takich jak model konsensusu blockchain, protokoły sieciowe i peer-to-peer, dowód stawki (PoS) itp.) i zgodności protokołu/implementacji po bezpieczeństwo sieci i integralność konsensusu. Klasyczne bezpieczeństwo klientów, a także bezpieczeństwo prymitywów kryptograficznych są również częścią programu. Wszystkie ujawnienia błędów i zgłoszenia podatności muszą być dokonywane za pośrednictwem naszego formularza zgłaszania błędów (otwiera się w nowej karcie).

Błędy w specyfikacji

Specyfikacje Ethereum szczegółowo opisują uzasadnienie projektowe dla warstwy wykonawczej i warstwy konsensusu.

Warto zapoznać się z poniższymi adnotacjami:

Rodzaje błędów

  • Błędy naruszające bezpieczeństwo/ostateczność
  • Wektory odmowy usługi (DOS)
  • Niespójności w założeniach, takie jak sytuacje, w których uczciwi walidatorzy mogą zostać ścięci
  • Niespójności w obliczeniach lub parametrach

Dokumenty specyfikacji

Beacon Chain (otwiera się w nowej karcie)
Wybór rozwidlenia (otwiera się w nowej karcie)
Kontrakt depozytowy Solidity (otwiera się w nowej karcie)
Sieć peer-to-peer (otwiera się w nowej karcie)

Błędy w klientach

Klienci obsługują sieć Ethereum i muszą postępować zgodnie z logiką określoną w specyfikacji oraz być bezpieczni przed potencjalnymi atakami. Błędy, które chcemy znaleźć, są związane z implementacją protokołu.

Obecnie klienci warstwy wykonawczej (Besu, Erigon, Geth, Nethermind i Reth) oraz klienci warstwy konsensusu (Lighthouse, Lodestar, Nimbus, Teku i Prysm) są objęci programem Bug Bounty.

Rodzaje błędów

  • Problemy z niezgodnością ze specyfikacją
  • Nieoczekiwane awarie, podatności RCE lub odmowa usługi (DOS)
  • Wszelkie problemy powodujące nieodwracalne rozłamy konsensusu od reszty sieci

Przydatne linki

Besu (otwiera się w nowej karcie)
Erigon (otwiera się w nowej karcie)
Geth (otwiera się w nowej karcie)
Lighthouse (otwiera się w nowej karcie)
Lodestar (otwiera się w nowej karcie)
Nimbus (otwiera się w nowej karcie)
Nethermind (otwiera się w nowej karcie)
Prysm (otwiera się w nowej karcie)
Reth (otwiera się w nowej karcie)
Teku (otwiera się w nowej karcie)
Grandine (otwiera się w nowej karcie)

Błędy w kompilatorach języków

Kompilatory Solidity i Vyper są objęte programem Bug Bounty. Prosimy o podanie wszystkich szczegółów niezbędnych do odtworzenia podatności, takich jak: program wejściowy wyzwalający błąd, wersja kompilatora, której dotyczy problem, docelowa wersja EVM, framework/IDE (jeśli dotyczy), środowisko wykonawcze EVM/klient (jeśli dotyczy) oraz system operacyjny. Prosimy o jak najbardziej szczegółowe opisanie kroków niezbędnych do odtworzenia znalezionego błędu.

Solidity i Vyper nie dają gwarancji bezpieczeństwa w zakresie kompilacji niezaufanych danych wejściowych – nie przyznajemy nagród za awarie kompilatora spowodowane złośliwie wygenerowanymi danymi.

Przydatne linki

Solidity (otwiera się w nowej karcie)
Vyper (otwiera się w nowej karcie)

Błędy w kontrakcie depozytowym

Specyfikacje i kod źródłowy kontraktu depozytowego Beacon Chain są częścią programu Bug Bounty.

Przydatne linki

Błędy w zależnościach

Niektóre zależności są kluczowe dla funkcjonowania sieci Ethereum, a część z nich została dodana do programu Bug Bounty. Obecnie lista zależności objętych programem Bug Bounty obejmuje C-KZG-4844 i Go-KZG-4844.

Przydatne linki

Poza zakresem

Tylko cele wymienione w sekcji „W zakresie” są częścią programu Bug Bounty. Podatności, które NIE kwalifikują się do programu, obejmują:

  • ✕Błędy infrastruktury — takie jak strony internetowe, DNS, e-mail itp.*
  • ✕Błędy w kontraktach ERC-20*
  • ✕Błędy w Ethereum Naming Service (ENS) (utrzymywanym przez fundację ENS)
  • ✕Luki wymagające od użytkownika publicznego udostępnienia API, takiego jak JSON-RPC lub Beacon API
  • ✕EngineAPI jest uważane za zaufane i nie powinno być publicznie udostępniane
  • ✕Błędy typograficzne
  • ✕Testy
  • ✕Wymagające dużego wysiłku (długotrwałe, obciążające procesor lub przepustowość i/lub wymagające więcej niż 1 pakietu lub transakcji onchain) ataki DoS na pojedynczy węzeł równorzędny
  • ✕Wszelkie publicznie znane problemy (w tym posty na forach, PR-y, zgłoszenia na GitHubie, commity, wpisy na blogach, publiczne wiadomości na Discordzie itp.)
  • ✕Wszystko, co obecnie nie ma bezpośredniego wpływu na sieć główną Ethereum.

*Te elementy nie są objęte programem, jednak czasami możemy pomóc w skontaktowaniu się z poszkodowanymi stronami

Zasady szukania błędów

Program Bug Bounty to eksperymentalny i uznaniowy program nagród dla naszej aktywnej społeczności Ethereum, mający na celu zachęcenie i nagrodzenie tych, którzy pomagają ulepszać platformę. To nie są zawody. Należy pamiętać, że możemy anulować program w dowolnym momencie, a nagrody są przyznawane według wyłącznego uznania panelu Bug Bounty Fundacji Ethereum. Ponadto nie jesteśmy w stanie przyznawać nagród osobom znajdującym się na listach sankcyjnych lub przebywającym w krajach objętych sankcjami (np. Korea Północna, Iran itp.). Lokalne przepisy wymagają od nas poproszenia o dowód tożsamości. Użytkownik ponosi odpowiedzialność za wszystkie podatki. Wszystkie nagrody podlegają obowiązującemu prawu. Wreszcie, testy nie mogą naruszać żadnego prawa ani narażać na szwank żadnych danych, które nie należą do Ciebie, i muszą odbywać się w lokalnie uruchomionych sieciach testowych.

  1. 1Problemy bez weryfikacji koncepcji (POC), zgłoszone już przez innego użytkownika lub znane już opiekunom specyfikacji i klientów nie kwalifikują się do nagród.
  2. 2Publiczne ujawnienie podatności lub zgłoszenie jej innym stronom bez uprzedniej zgody powoduje utratę prawa do nagrody.
  3. 3Pracownicy, wykonawcy, usługodawcy lub beneficjenci grantów Fundacji Ethereum, a także członkowie zespołów odpowiedzialnych za klientów objętych programem Bug Bounty, mogą uczestniczyć w programie wyłącznie w celu gromadzenia punktów i nie otrzymają nagród pieniężnych w trakcie trwania tej współpracy oraz przez 90 dni po jej zakończeniu. Podatności odkryte w którymkolwiek z tych okresów lub dzięki niepublicznym informacjom uzyskanym w ramach takiej współpracy, nie kwalifikują się do nagród pieniężnych niezależnie od tego, kiedy zostaną zgłoszone.
  4. 4Program nagród Ethereum bierze pod uwagę wiele zmiennych przy ustalaniu nagród. Ustalenie kwalifikowalności, punktacji i wszystkich warunków związanych z nagrodą leży w wyłącznej i ostatecznej gestii panelu Bug Bounty Fundacji Ethereum.

Kwalifikacje wagi luki w zabezpieczeniach

Waga jest oceniana na podstawie unikalnej zdolności każdej odkrytej luki do wykonania następujących czynności:

Niska waga
  • Poddać cięciu >0.01% walidatorów
  • W trywialny sposób spowodować podziały sieci wpływające na >0.01% sieci
  • Wyłączyć >0.01% sieci poprzez wysłanie pojedynczego pakietu sieciowego lub transakcji onchain
Średnia waga
  • Poddać cięciu >1% walidatorów
  • W trywialny sposób spowodować podziały sieci wpływające na >5% sieci
  • Wyłączyć >5% sieci poprzez wysłanie pojedynczego pakietu sieciowego lub transakcji onchain
Wysoka waga
  • Poddać cięciu >33% walidatorów
  • W trywialny sposób spowodować podziały sieci wpływające na >33% sieci
  • Wyłączyć >33% sieci poprzez wysłanie pojedynczej transakcji onchain
Krytyczna waga
  • Poddać cięciu >50% walidatorów
  • Wykorzystać błąd w EIP/specyfikacji lub kliencie, aby łatwo stworzyć nieskończoną ilość ETH, co zostaje sfinalizowane przez sieć
  • Ukraść ETH ze wszystkich kont EOA
  • Spalić ETH ze wszystkich kont EOA
  • Wyłączyć całą sieć poprzez wysłanie pojedynczej złośliwej transakcji onchain, która doprowadzi do awarii wszystkich klientów

Zgłoś błąd

Do 2000 USD

Niskie

Do 2000 USD

Do 1000 punktów

Zgłoś błąd o niskim ryzyku (otwiera się w nowej karcie)
Do 10 000 USD

Średnie

Do 10 000 USD

Do 5000 punktów

Zgłoś błąd o średnim ryzyku (otwiera się w nowej karcie)
Do 50 000 USD

Wysokie

Do 50 000 USD

Do 10 000 punktów

Zgłoś błąd o wysokim ryzyku (otwiera się w nowej karcie)
Do 1 000 000 USD

Krytyczne

Do 1 000 000 USD

Do 25 000 punktów

Zgłoś błąd o krytycznym ryzyku (otwiera się w nowej karcie)

Tabela wyników Bug Bounty warstwy wykonawczej

Znajdź błędy w warstwie wykonawczej, aby znaleźć się w tej tabeli wyników

Tabela wyników Bug Bounty warstwy konsensusu

Znajdź błędy w warstwie konsensusu, aby znaleźć się w tej tabeli wyników

Często zadawane pytania

Obecnie nie ustalono daty końcowej. Najnowsze informacje znajdziesz na blogu Fundacji Ethereum (otwiera się w nowej karcie).

Nagrody są wypłacane w ETH lub DAI po zweryfikowaniu zgłoszenia, zazwyczaj kilka dni później. Lokalne przepisy wymagają od nas poproszenia o dowód tożsamości. Ponadto będziemy potrzebować Twojego adresu ETH.

Możemy przekazać Twoją nagrodę wybranej przez Ciebie uznanej organizacji charytatywnej.

Staramy się odpowiadać na zgłoszenia tak szybko, jak to możliwe. Ze względu na wzrost liczby zgłoszeń generowanych przez sztuczną inteligencję, prosimy o cierpliwość – odpowiedź może zająć do tygodnia.

Zgłoszenie anonimowe lub pod pseudonimem jest w porządku, ale sprawi, że nie będziesz kwalifikować się do nagród w ETH/DAI. Aby kwalifikować się do nagród w ETH/DAI, wymagamy przesłania Twojego prawdziwego imienia i nazwiska oraz dowodu tożsamości, zaszyfrowanych za pomocą PGP na naszej bezpiecznej stronie, do naszego zespołu prawnego w Fundacji Ethereum, który jako jedyny przegląda dokumentację. Przekazanie nagrody na cele charytatywne nie wymaga podawania tożsamości.

Daj nam znać, jeśli nie chcesz, aby Twoje imię i nazwisko/pseudonim były wyświetlane w tabeli liderów.

Każdej znalezionej luce / problemowi przypisywana jest punktacja. Łowcy nagród są klasyfikowani w naszej tabeli liderów na podstawie łącznej liczby punktów.