Aberto para envios
Programa de Recompensas por Bugs
Ganhe até 1.000.000 USD e um lugar na tabela de classificação encontrando bugs de protocolo, cliente e compilador de linguagem que afetam a rede Ethereum.
Clientes incluídos nas recompensas
No escopo
Nosso programa de recompensas por bugs abrange de ponta a ponta: desde a solidez dos protocolos (como o modelo de consenso da blockchain, os protocolos de rede e ponto a ponto, Prova de Participação (PoS), etc.) e conformidade de protocolo/implementação até a segurança da rede e integridade do consenso. A segurança clássica do cliente, bem como a segurança de primitivas criptográficas, também fazem parte do programa. Todas as divulgações de bugs e envios de vulnerabilidades devem ser feitos através do nosso formulário de envio de bugs (opens in a new tab).
Bugs de clientes
Os clientes executam a rede Ethereum e precisam seguir a lógica estabelecida na especificação e ser seguros contra possíveis ataques. Os bugs que queremos encontrar estão relacionados à implementação do protocolo.
Atualmente, os clientes da camada de execução (Besu, o Erigon, Go Ethereum (Geth), o Nethermind e Reth) e os clientes da camada de consenso (Lighthouse, Lodestar, Nimbus, Teku e Prysm) estão incluídos no Programa de Recompensas por Bugs.
Tipos de bugs
- Problemas de não conformidade com a especificação
- Falhas inesperadas, RCE ou vulnerabilidades de negação de serviço (DOS)
- Quaisquer problemas que causem divisões irreparáveis de consenso do resto da rede
Links úteis
Bugs de compilador de linguagem
Os compiladores Solidity e Vyper estão no escopo do programa de recompensas por bugs. Inclua todos os detalhes necessários para reproduzir a vulnerabilidade, como: programa de entrada que aciona o bug, versão do compilador afetada, versão da EVM de destino, framework/IDE (se aplicável), ambiente de execução/cliente da EVM (se aplicável) e sistema operacional. Inclua as etapas para reproduzir o bug que você encontrou com o máximo de detalhes possível.
Solidity e Vyper não possuem garantias de segurança em relação à compilação de entradas não confiáveis – e não emitimos recompensas por falhas do compilador em dados gerados maliciosamente.
Links úteis
Qualificações de gravidade de vulnerabilidade
A gravidade é avaliada com base na capacidade única de cada vulnerabilidade descoberta de fazer o seguinte:
- Penalizar >0,01% dos validadores
- Causar trivialmente divisões de rede afetando >0,01% da rede
- Ser capaz de derrubar >0,01% da rede enviando um único pacote de rede ou uma transação onchain
- Penalizar >1% dos validadores
- Causar trivialmente divisões de rede afetando >5% da rede
- Ser capaz de derrubar >5% da rede enviando um único pacote de rede ou uma transação onchain
- Penalizar >33% dos validadores
- Causar trivialmente divisões de rede afetando >33% da rede
- Ser capaz de derrubar >33% da rede enviando uma única transação onchain
- Penalizar >50% dos validadores
- Explorar um EIP/especificação ou bug de cliente para facilmente criar uma quantidade infinita de ETH que é finalizado pela rede
- Roubar ETH de todas as EOAs
- Queimar ETH de todas as EOAs
- Derrubar toda a rede enviando uma única transação onchain maliciosa que acaba travando todos os clientes
Enviar um bug
Tabela de classificação de recompensas por bugs da camada de execução
Encontre bugs da camada de execução para ser adicionado a esta tabela de classificação
Tabela de classificação de recompensas por bugs da camada de consenso
Encontre bugs da camada de consenso para ser adicionado a esta tabela de classificação
Perguntas frequentes
Atualmente não há data de término definida. Veja o blog da Fundação Ethereum (opens in a new tab) para as últimas notícias.
As recompensas são pagas em ETH ou DAI após a validação do envio, geralmente alguns dias depois. As leis locais exigem que solicitemos prova de sua identidade. Além disso, precisaremos do seu endereço ETH.
Podemos doar sua recompensa para uma organização de caridade estabelecida de sua escolha.
Nosso objetivo é responder aos envios o mais rápido possível. Devido ao aumento de envios por IA, aguarde até uma semana para respondermos ao seu envio.
O envio anonimamente ou com um pseudônimo é aceito, mas o tornará inelegível para recompensas em ETH/DAI. Para ser elegível para recompensas em ETH/DAI, exigimos que seu nome verdadeiro e uma prova de sua identidade sejam enviados, criptografados usando PGP em nosso site de entrega seguro, para nossa equipe jurídica na Fundação Ethereum, que são os únicos revisores da documentação. Doar sua recompensa para uma instituição de caridade não exige sua identidade.
Informe-nos se não quiser que seu nome/apelido seja exibido na tabela de classificação.
Cada vulnerabilidade/problema encontrado recebe uma pontuação. Os caçadores de recompensas são classificados em nossa tabela de classificação pelo total de pontos.
Última atualização da página: 20 de maio de 2026
