Открыто для заявок
Программа Bug Bounty
Заработайте до 1 000 000 USD и место в таблице лидеров, находя ошибки в протоколе, клиентах и компиляторах языков, влияющие на сеть Эфириум.
Клиенты, участвующие в программе вознаграждений
В области действия
Наша программа Bug Bounty охватывает весь спектр: от надежности протоколов (таких как модель консенсуса блокчейна, сетевые и одноранговые (p2p) протоколы, доказательство доли владения и т. д.) и соответствия протокола/реализации до безопасности сети и целостности консенсуса. Классическая безопасность клиентов, а также безопасность криптографических примитивов также являются частью программы. Все раскрытия ошибок и сообщения об уязвимостях должны осуществляться через нашу форму отправки ошибок (opens in a new tab).
Ошибки в клиентах
Клиенты обеспечивают работу сети Эфириум, и они должны следовать логике, изложенной в спецификации, а также быть защищенными от потенциальных атак. Ошибки, которые мы хотим найти, связаны с реализацией протокола.
В настоящее время в программу Bug Bounty включены клиенты уровня исполнения (Бесу, Эригон, Go Ethereum (Geth), Незермайнд и Рет) и клиенты уровня консенсуса (Лайтхаус, Лодстар, Нимбус, Теку и Призм).
Типы ошибок
- Проблемы несоответствия спецификации
- Неожиданные сбои, уязвимости удаленного выполнения кода (RCE) или отказа в обслуживании (DoS)
- Любые проблемы, вызывающие непоправимое разделение консенсуса с остальной частью сети
Полезные ссылки
Ошибки в компиляторах языков
Компиляторы Solidity и Vyper входят в область действия программы Bug Bounty. Пожалуйста, укажите все детали, необходимые для воспроизведения уязвимости, такие как: исходная программа, вызывающая ошибку, затронутая версия компилятора, целевая версия EVM, фреймворк/IDE (если применимо), среда выполнения EVM/клиент (если применимо) и операционная система. Пожалуйста, опишите шаги для воспроизведения найденной ошибки как можно подробнее.
Solidity и Vyper не предоставляют гарантий безопасности при компиляции ненадежных входных данных, и мы не выплачиваем вознаграждения за сбои компилятора на злонамеренно сгенерированных данных.
Полезные ссылки
Квалификация серьезности уязвимостей
Серьезность оценивается на основе уникальной способности каждой обнаруженной уязвимости делать следующее:
- Подвергнуть слэшингу >0.01% валидаторов
- Легко вызвать разделение сети, затрагивающее >0.01% сети
- Иметь возможность вывести из строя >0.01% сети путем отправки одного сетевого пакета или ончейн транзакции
- Подвергнуть слэшингу >1% валидаторов
- Легко вызвать разделение сети, затрагивающее >5% сети
- Иметь возможность вывести из строя >5% сети путем отправки одного сетевого пакета или ончейн транзакции
- Подвергнуть слэшингу >33% валидаторов
- Легко вызвать разделение сети, затрагивающее >33% сети
- Иметь возможность вывести из строя >33% сети путем отправки одной ончейн транзакции
- Подвергнуть слэшингу >50% валидаторов
- Использовать ошибку в EIP/спецификации или клиенте, чтобы легко создать бесконечное количество ETH, которое будет финализировано сетью
- Украсть ETH со всех внешне принадлежащих учетных записей (EOA)
- Сжечь ETH со всех внешне принадлежащих учетных записей (EOA)
- Вывести из строя всю сеть путем отправки одной вредоносной ончейн транзакции, которая приведет к сбою всех клиентов
Сообщить об ошибке
Критический
До 1 000 000 USD
До 25 000 баллов
Сообщить об ошибке с критическим риском (opens in a new tab)Таблица лидеров Bug Bounty уровня исполнения
Найдите ошибки на уровне исполнения, чтобы попасть в эту таблицу лидеров
Таблица лидеров Bug Bounty уровня консенсуса
Найдите ошибки на уровне консенсуса, чтобы попасть в эту таблицу лидеров
Часто задаваемые вопросы
В настоящее время дата окончания не установлена. Последние новости можно найти в блоге Фонда Ethereum (opens in a new tab).
Вознаграждения выплачиваются в ETH или DAI после проверки заявки, обычно через несколько дней. Местные законы требуют от нас запрашивать доказательство вашей личности. Кроме того, нам понадобится ваш адрес ETH.
Мы можем пожертвовать ваше вознаграждение в признанную благотворительную организацию по вашему выбору.
Мы стараемся отвечать на заявки как можно быстрее. В связи с увеличением количества заявок, сгенерированных ИИ, пожалуйста, подождите до одной недели, чтобы мы могли ответить на вашу заявку.
Подача заявки анонимно или под псевдонимом допускается, но лишает вас права на получение вознаграждений в ETH/DAI. Чтобы иметь право на вознаграждения в ETH/DAI, мы требуем, чтобы ваше настоящее имя и доказательство вашей личности были отправлены в зашифрованном виде с помощью PGP на нашем защищенном сайте для передачи данных нашей юридической команде в Фонде Ethereum, которая является единственным проверяющим документации. Пожертвование вашего вознаграждения на благотворительность не требует подтверждения вашей личности.
Пожалуйста, сообщите нам, если вы не хотите, чтобы ваше имя/никнейм отображались в таблице лидеров.
Каждой найденной уязвимости / проблеме присваивается оценка. Охотники за ошибками ранжируются в нашей таблице лидеров по общему количеству баллов.
Последнее обновление страницы: 20 мая 2026 г.
