Программа Bug Bounty для обновления Гламстердам
Обновление Гламстердам будет включено в область действия программы, как только о его релиз-кандидатах будет объявлено в блоге Фонда Ethereum (открывается в новой вкладке). Спецификации Гламстердам и Предложения по улучшению Ethereum (EIP) уже включены в программу с множителем 0.5×.
Приведенные ниже специальные правила и множители применяются только к ошибкам, специфичным для обновления Гламстердам. Исследователям следует ориентироваться на последние нестабильные ветки клиентов и проверять наличие уже открытых проблем (issues) и пулл-реквестов. Ошибки, которые уже описаны в открытой проблеме или пулл-реквесте, не подлежат вознаграждению.
Выпущенные клиенты, Предложения по улучшению Ethereum (EIP) и спецификации теперь входят в область действия программы, согласно сообщению в блоге (открывается в новой вкладке).
Множители вознаграждений
- 0.5×: С момента публикации сообщения в блоге о релиз-кандидате до запланированного обновления тестовой сети Sepolia. В область действия входят уязвимости средней, высокой и критической степени серьезности. Спецификации Гламстердам и Предложения по улучшению Ethereum (EIP) уже подпадают под этот множитель.
- 2.0×: Спустя 24 часа после того, как эпоха обновления Sepolia будет финализирована, и до обновления Hoodi. В область действия входят уязвимости низкой, средней, высокой и критической степени серьезности.
- 1.5×: С момента обновления Hoodi до одной недели перед запланированным обновлением Мейннета. В область действия входят уязвимости низкой, средней, высокой и критической степени серьезности.
Множитель будет определяться временем отправки отчета, а не временем обнаружения ошибки. Суммы вознаграждений, указанные в других разделах этой страницы, являются стандартными лимитами; множители Гламстердам корректируют эти лимиты и не гарантируют получение вознаграждения.
Уязвимости Гламстердам низкой степени серьезности не получают вознаграждений в период действия множителя 0.5×. Право на получение вознаграждения зависит от подтвержденной степени серьезности.
Даты обновлений могут быть изменены.
Существующие правила программы Bug Bounty продолжают применяться к отчетам по Гламстердам. Все отчеты, не связанные с Гламстердам, подчиняются обычным правилам подачи отчетов в рамках программы Bug Bounty.
Клиенты, участвующие в программе вознаграждений
В области действия
Наша программа Bug Bounty охватывает весь спектр: от надежности протоколов (таких как модель консенсуса блокчейна, сетевые и одноранговые (p2p) протоколы, доказательство доли владения и т. д.) и соответствия протокола/реализации до безопасности сети и целостности консенсуса. Классическая безопасность клиентов, а также безопасность криптографических примитивов также являются частью программы. Все раскрытия ошибок и сообщения об уязвимостях должны осуществляться через нашу форму отправки ошибок (открывается в новой вкладке).
Правило быстрого подтверждения (открывается в новой вкладке) теперь входит в область действия программы Bug Bounty.
Ошибки в клиентах
Клиенты обеспечивают работу сети Эфириум, и они должны следовать логике, изложенной в спецификации, а также быть защищенными от потенциальных атак. Ошибки, которые мы хотим найти, связаны с реализацией протокола.
В настоящее время клиенты уровня исполнения (Бесу, Эригон, Go Ethereum (Geth), Незермайнд и Рет) и клиенты уровня консенсуса (Grandine, Лайтхаус, Лодстар, Нимбус, Призм и Теку) включены в программу Bug Bounty.
Типы ошибок
- Проблемы несоответствия спецификации
- Неожиданные сбои, уязвимости удаленного выполнения кода (RCE) или отказа в обслуживании (DoS)
- Любые проблемы, вызывающие непоправимое разделение консенсуса с остальной частью сети
Полезные ссылки
Ошибки в компиляторах языков
Компиляторы Solidity и Vyper входят в область действия программы Bug Bounty. Пожалуйста, укажите все детали, необходимые для воспроизведения уязвимости, такие как: исходная программа, вызывающая ошибку, затронутая версия компилятора, целевая версия EVM, фреймворк/IDE (если применимо), среда выполнения EVM/клиент (если применимо) и операционная система. Пожалуйста, опишите шаги для воспроизведения найденной ошибки как можно подробнее.
Solidity и Vyper не предоставляют гарантий безопасности при компиляции ненадежных входных данных, и мы не выплачиваем вознаграждения за сбои компилятора, вызванные злонамеренно сгенерированными данными.
Полезные ссылки
Квалификация серьезности уязвимостей
Степень серьезности оценивается на основе уникальной способности каждой обнаруженной уязвимости к следующему:
Сообщить об ошибке
Таблица лидеров Bug Bounty уровня исполнения
Найдите ошибки на уровне исполнения, чтобы попасть в эту таблицу лидеров
Таблица лидеров Bug Bounty уровня консенсуса
Найдите ошибки на уровне консенсуса, чтобы попасть в эту таблицу лидеров
Часто задаваемые вопросы
Подача заявки анонимно или под псевдонимом допускается, но лишает вас права на получение вознаграждений в ETH/DAI. Чтобы иметь право на вознаграждения в ETH/DAI, мы требуем, чтобы ваше настоящее имя и доказательство вашей личности были отправлены в зашифрованном виде с помощью PGP на нашем защищенном сайте для передачи данных нашей юридической команде в Фонде Ethereum, которая является единственным проверяющим документации. Пожертвование вашего вознаграждения на благотворительность не требует подтверждения вашей личности.
Пожалуйста, сообщите нам, если вы не хотите, чтобы ваше имя/никнейм отображались в таблице лидеров.