Recompensas por Bugs da Glamsterdam
A atualização Glamsterdam estará no escopo assim que seus candidatos a lançamento forem anunciados no blog da Fundação Ethereum (abre em uma nova aba). As especificações da Glamsterdam e as Propostas de Melhoria do Ethereum (EIPs) já estão no escopo com um multiplicador de 0,5×.
As regras especiais e os multiplicadores abaixo se aplicam apenas a bugs específicos da atualização Glamsterdam. Os pesquisadores devem focar nas ramificações de clientes instáveis mais recentes e verificar se há problemas (issues) e pull requests existentes. Bugs já cobertos por uma issue ou pull request aberta não são elegíveis.
Clientes lançados, Propostas de Melhoria do Ethereum (EIPs) e especificações agora estão no escopo, conforme a postagem no blog (abre em uma nova aba).
Multiplicadores de recompensa
- 0,5×: Da publicação da postagem no blog sobre o candidato a lançamento até a atualização programada da rede de teste Sepolia. Descobertas de gravidade Média, Alta e Crítica estão no escopo. As especificações da Glamsterdam e as Propostas de Melhoria do Ethereum (EIPs) já são elegíveis para este multiplicador.
- 2,0×: De 24 horas após a época de atualização da Sepolia ser finalizada até a atualização Hoodi. Descobertas de gravidade Baixa, Média, Alta e Crítica estão no escopo.
- 1,5×: Da atualização Hoodi até uma semana antes da atualização programada da Mainnet. Descobertas de gravidade Baixa, Média, Alta e Crítica estão no escopo.
O multiplicador será determinado pelo momento em que um relatório for enviado, não quando o bug foi descoberto. Os valores de recompensa mostrados em outras partes desta página são os limites padrão; os multiplicadores da Glamsterdam ajustam esses limites e não garantem uma premiação.
Descobertas da Glamsterdam de baixa gravidade não recebem recompensas durante a janela de 0,5×. A elegibilidade é baseada na gravidade validada.
As datas de atualização estão sujeitas a alterações.
As regras do programa de recompensas por bugs existentes continuam a se aplicar aos relatórios da Glamsterdam. Todos os relatórios não relacionados à Glamsterdam seguem as regras normais de envio de recompensas por bugs.
Clientes incluídos nas recompensas
No escopo
Nosso programa de recompensas por bugs abrange de ponta a ponta: desde a solidez dos protocolos (como o modelo de consenso da blockchain, os protocolos de rede e ponto a ponto, Prova de Participação (PoS), etc.) e conformidade de protocolo/implementação até a segurança da rede e integridade do consenso. A segurança clássica do cliente, bem como a segurança de primitivas criptográficas, também fazem parte do programa. Todas as divulgações de bugs e envios de vulnerabilidades devem ser feitos através do nosso formulário de envio de bugs (abre em uma nova aba).
A Regra de Confirmação Rápida (abre em uma nova aba) agora está no escopo do Programa de Recompensas por Bugs.
Bugs de clientes
Os clientes executam a rede Ethereum e precisam seguir a lógica estabelecida na especificação e ser seguros contra possíveis ataques. Os bugs que queremos encontrar estão relacionados à implementação do protocolo.
Atualmente, os clientes da camada de execução (Besu, o Erigon, Geth, o Nethermind e Reth) e os clientes da camada de consenso (Grandine, Lighthouse, Lodestar, Nimbus, Prysm e Teku) estão incluídos no Programa de Recompensas por Bugs.
Tipos de bugs
- Problemas de não conformidade com a especificação
- Falhas inesperadas, RCE ou vulnerabilidades de negação de serviço (DOS)
- Quaisquer problemas que causem divisões irreparáveis de consenso do resto da rede
Links úteis
Bugs de compilador de linguagem
Os compiladores Solidity e Vyper estão no escopo do programa de recompensas por bugs. Inclua todos os detalhes necessários para reproduzir a vulnerabilidade, como: programa de entrada que aciona o bug, versão do compilador afetada, versão da EVM de destino, framework/IDE (se aplicável), ambiente de execução/cliente da EVM (se aplicável) e sistema operacional. Inclua as etapas para reproduzir o bug que você encontrou com o máximo de detalhes possível.
A Solidity e Vyper não oferecem garantias de segurança em relação à compilação de entradas não confiáveis – e não emitimos recompensas por travamentos do compilador em dados gerados maliciosamente.
Links úteis
Qualificações de gravidade de vulnerabilidade
A gravidade é avaliada com base na capacidade única de cada vulnerabilidade descoberta de fazer o seguinte:
Resource-exhaustion impact assumes Ethereum's recommended node hardware (EIP-7870 (abre em uma nova aba)).
Enviar um bug
Tabela de classificação de recompensas por bugs da camada de execução
Encontre bugs da camada de execução para ser adicionado a esta tabela de classificação
Tabela de classificação de recompensas por bugs da camada de consenso
Encontre bugs da camada de consenso para ser adicionado a esta tabela de classificação
Perguntas frequentes
O envio anonimamente ou com um pseudônimo é aceito, mas o tornará inelegível para recompensas em ETH/DAI. Para ser elegível para recompensas em ETH/DAI, exigimos que seu nome verdadeiro e uma prova de sua identidade sejam enviados, criptografados usando PGP em nosso site de entrega seguro, para nossa equipe jurídica na Fundação Ethereum, que são os únicos revisores da documentação. Doar sua recompensa para uma instituição de caridade não exige sua identidade.
Informe-nos se não quiser que seu nome/apelido seja exibido na tabela de classificação.