Glamsterdam Bug Bounty
The Glamsterdam upgrade will be in scope once its release candidates are announced on the Ethereum Foundation blog (открывается в новой вкладке). Glamsterdam specifications and EIPs are already in scope with a 0.5× multiplier.
The special rules and multipliers below only apply to bugs specific to the Glamsterdam upgrade. Researchers should target the latest unstable client branches and check for existing issues and pull requests. Bugs already covered by an open issue or pull request are not eligible.
Reward multipliers
- 0.5×: From publication of the release candidate blog post until the scheduled Sepolia testnet upgrade. Medium, High and Critical findings are in scope. Glamsterdam specifications and EIPs are already eligible for this multiplier.
- 2.0×: From 24 hours after the Sepolia upgrade epoch finalizes until the Hoodi upgrade. Low, Medium, High and Critical findings are in scope.
- 1.5×: From the Hoodi upgrade until one week before the scheduled mainnet upgrade. Low, Medium, High and Critical findings are in scope.
The multiplier will be determined by when a report is submitted, not when the bug was discovered. The reward amounts shown elsewhere on this page are the standard caps; Glamsterdam multipliers adjust those caps and do not guarantee an award.
Low-severity Glamsterdam findings do not receive rewards during the 0.5× window. Eligibility is based on validated severity.
Upgrade dates are subject to change.
The existing bug bounty rules continue to apply to Glamsterdam reports. All reports unrelated to Glamsterdam follow the normal bug bounty submission rules.
Клиенты, участвующие в программе вознаграждений
В области действия
Наша программа Bug Bounty охватывает весь спектр: от надежности протоколов (таких как модель консенсуса блокчейна, сетевые и одноранговые (p2p) протоколы, доказательство доли владения и т. д.) и соответствия протокола/реализации до безопасности сети и целостности консенсуса. Классическая безопасность клиентов, а также безопасность криптографических примитивов также являются частью программы. Все раскрытия ошибок и сообщения об уязвимостях должны осуществляться через нашу форму отправки ошибок (открывается в новой вкладке).
Ошибки в клиентах
Клиенты обеспечивают работу сети Эфириум, и они должны следовать логике, изложенной в спецификации, а также быть защищенными от потенциальных атак. Ошибки, которые мы хотим найти, связаны с реализацией протокола.
В настоящее время в программу Bug Bounty включены клиенты уровня исполнения (Бесу, Эригон, Go Ethereum (Geth), Незермайнд и Рет) и клиенты уровня консенсуса (Лайтхаус, Лодстар, Нимбус, Теку и Призм).
Типы ошибок
- Проблемы несоответствия спецификации
- Неожиданные сбои, уязвимости удаленного выполнения кода (RCE) или отказа в обслуживании (DoS)
- Любые проблемы, вызывающие непоправимое разделение консенсуса с остальной частью сети
Полезные ссылки
Ошибки в компиляторах языков
Компиляторы Solidity и Vyper входят в область действия программы Bug Bounty. Пожалуйста, укажите все детали, необходимые для воспроизведения уязвимости, такие как: исходная программа, вызывающая ошибку, затронутая версия компилятора, целевая версия EVM, фреймворк/IDE (если применимо), среда выполнения EVM/клиент (если применимо) и операционная система. Пожалуйста, опишите шаги для воспроизведения найденной ошибки как можно подробнее.
Solidity и Vyper не предоставляют гарантий безопасности при компиляции ненадежных входных данных, и мы не выплачиваем вознаграждения за сбои компилятора на злонамеренно сгенерированных данных.
Полезные ссылки
Квалификация серьезности уязвимостей
Серьезность оценивается на основе уникальной способности каждой обнаруженной уязвимости делать следующее:
Сообщить об ошибке
Таблица лидеров Bug Bounty уровня исполнения
Найдите ошибки на уровне исполнения, чтобы попасть в эту таблицу лидеров
Таблица лидеров Bug Bounty уровня консенсуса
Найдите ошибки на уровне консенсуса, чтобы попасть в эту таблицу лидеров
Часто задаваемые вопросы
Подача заявки анонимно или под псевдонимом допускается, но лишает вас права на получение вознаграждений в ETH/DAI. Чтобы иметь право на вознаграждения в ETH/DAI, мы требуем, чтобы ваше настоящее имя и доказательство вашей личности были отправлены в зашифрованном виде с помощью PGP на нашем защищенном сайте для передачи данных нашей юридической команде в Фонде Ethereum, которая является единственным проверяющим документации. Пожертвование вашего вознаграждения на благотворительность не требует подтверждения вашей личности.
Пожалуйста, сообщите нам, если вы не хотите, чтобы ваше имя/никнейм отображались в таблице лидеров.