Ruka hadi maudhui makuu

Imefunguliwa kwa mawasilisho

Programu ya Tuzo za Hitilafu 

Pata hadi USD 1,000,000 na nafasi kwenye ubao wa wanaoongoza kwa kupata hitilafu za itifaki, klijenti na kikompaili cha lugha zinazoathiri mtandao wa Ethereum.

Wasilisha hitilafu (inafunguka katika kichupo kipya)
Soma sheria
Tazama mbao kamili za wanaoongoza

Glamsterdam Bug Bounty

The Glamsterdam upgrade will be in scope once its release candidates are announced on the Ethereum Foundation blog (inafunguka katika kichupo kipya). Glamsterdam specifications and EIPs are already in scope with a 0.5× multiplier.

The special rules and multipliers below only apply to bugs specific to the Glamsterdam upgrade. Researchers should target the latest unstable client branches and check for existing issues and pull requests. Bugs already covered by an open issue or pull request are not eligible.

For now, only the Glamsterdam specifications and EIPs are in scope. Clients are not yet eligible.

Reward multipliers

  • 0.5×: From publication of the release candidate blog post until the scheduled Sepolia testnet upgrade. Medium, High and Critical findings are in scope. Glamsterdam specifications and EIPs are already eligible for this multiplier.
  • 2.0×: From 24 hours after the Sepolia upgrade epoch finalizes until the Hoodi upgrade. Low, Medium, High and Critical findings are in scope.
  • 1.5×: From the Hoodi upgrade until one week before the scheduled mainnet upgrade. Low, Medium, High and Critical findings are in scope.

The multiplier will be determined by when a report is submitted, not when the bug was discovered. The reward amounts shown elsewhere on this page are the standard caps; Glamsterdam multipliers adjust those caps and do not guarantee an award.

Low-severity Glamsterdam findings do not receive rewards during the 0.5× window. Eligibility is based on validated severity.

Upgrade dates are subject to change.

The existing bug bounty rules continue to apply to Glamsterdam reports. All reports unrelated to Glamsterdam follow the normal bug bounty submission rules.

Klijenti zilizojumuishwa kwenye tuzo

item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo
item-logo

Ndani ya Upeo

Programu yetu ya tuzo za hitilafu inahusisha mwanzo hadi mwisho: kuanzia uimara wa itifaki (kama vile muundo wa mwafaka wa mnyororo wa vitalu, itifaki za waya na p2p, uthibitisho wa dau, n.k.) na uzingatiaji wa itifaki/utekelezaji hadi usalama wa mtandao na uadilifu wa mwafaka. Usalama wa klijenti wa kawaida pamoja na usalama wa misingi ya kificho pia ni sehemu ya programu. Ufichuaji wote wa hitilafu na mawasilisho ya udhaifu lazima yafanywe kupitia fomu yetu ya kuwasilisha hitilafu (inafunguka katika kichupo kipya).

Fast Confirmation Rule (inafunguka katika kichupo kipya) is now in scope of the Bug Bounty Program.

Hitilafu za vipimo

Vipimo vya Ethereum vinaeleza kwa kina mantiki ya muundo wa Tabaka la Utekelezaji na Tabaka la Mwafaka.

Inaweza kusaidia kuangalia ufafanuzi ufuatao:

Aina za hitilafu

  • Hitilafu zinazovunja usalama/ukamilifu
  • Vekta za kunyimwa huduma (DOS)
  • Kutokubaliana katika mawazo, kama vile hali ambapo wathibitishaji waaminifu wanaweza kufanyiwa ukataji
  • Kutokubaliana kwa hesabu au vigezo

Nyaraka za vipimo

Mnyororo wa Beacon (inafunguka katika kichupo kipya)
Chaguo la mchepuo (inafunguka katika kichupo kipya)
Mkataba wa amana wa Solidity (inafunguka katika kichupo kipya)
Mtandao wa rika-kwa-rika (inafunguka katika kichupo kipya)

Hitilafu za klijenti

Klijenti huendesha Mtandao wa Ethereum, na zinahitaji kufuata mantiki iliyowekwa kwenye vipimo na kuwa salama dhidi ya mashambulizi yanayoweza kutokea. Hitilafu tunazotaka kupata zinahusiana na utekelezaji wa itifaki.

Kwa sasa klijenti za tabaka la utekelezaji (Besu, Erigon, Geth, Nethermind na Reth) na klijenti za tabaka la mwafaka (Lighthouse, Lodestar, Nimbus, Teku na Prysm) zimejumuishwa kwenye Programu ya Tuzo za Hitilafu.

Aina za hitilafu

  • Masuala ya kutofuata vipimo
  • Kusimama kwa ghafla, RCE au udhaifu wa kunyimwa huduma (DOS)
  • Masuala yoyote yanayosababisha migawanyiko ya mwafaka isiyoweza kurekebishwa kutoka kwa mtandao uliosalia

Viungo muhimu

Besu (inafunguka katika kichupo kipya)
Erigon (inafunguka katika kichupo kipya)
Geth (inafunguka katika kichupo kipya)
Lighthouse (inafunguka katika kichupo kipya)
Lodestar (inafunguka katika kichupo kipya)
Nimbus (inafunguka katika kichupo kipya)
Nethermind (inafunguka katika kichupo kipya)
Prysm (inafunguka katika kichupo kipya)
Reth (inafunguka katika kichupo kipya)
Teku (inafunguka katika kichupo kipya)
Grandine (inafunguka katika kichupo kipya)

Hitilafu za kikompaili cha lugha

Vikompaili vya Solidity na Vyper viko ndani ya upeo wa programu ya tuzo za hitilafu. Tafadhali jumuisha maelezo yote muhimu ili kuzalisha tena udhaifu kama vile: Programu ya uingizaji inayosababisha hitilafu, Toleo la kikompaili lililoathiriwa, Toleo lengwa la EVM, Mfumo/IDE ikiwa inatumika, Mazingira ya utekelezaji ya EVM/klijenti ikiwa inatumika na Mfumo wa uendeshaji, Tafadhali jumuisha hatua za kuzalisha tena hitilafu uliyopata kwa maelezo mengi iwezekanavyo.

Solidity na Vyper hazina dhamana za usalama kuhusu ukusanyaji wa data isiyoaminika – na hatutoi tuzo kwa kusimama kwa kikompaili kwenye data iliyozalishwa kwa nia mbaya.

Viungo muhimu

Solidity (inafunguka katika kichupo kipya)
Vyper (inafunguka katika kichupo kipya)

Hitilafu za Mkataba wa Amana

Vipimo na msimbo wa chanzo wa Mkataba wa Amana wa Mnyororo wa Beacon ni sehemu ya programu ya tuzo za hitilafu.

Viungo muhimu

Hitilafu za utegemezi

Baadhi ya tegemezi ni muhimu ili Mtandao wa Ethereum ufanye kazi, na baadhi ya hizi zimeongezwa kwenye programu ya tuzo za hitilafu. Kwa sasa, orodha ya tegemezi zilizojumuishwa kwenye programu ya tuzo za hitilafu ni C-KZG-4844 na Go-KZG-4844.

Viungo muhimu

Nje ya upeo

Ni malengo yaliyoorodheshwa chini ya ndani ya upeo pekee ndiyo sehemu ya Programu ya Tuzo za Hitilafu. Udhaifu ambao HAUkidhi vigezo chini ya programu unajumuisha:

  • ✕Hitilafu za miundombinu—kama vile kurasa za wavuti, dns, barua pepe, n.k.*
  • ✕Hitilafu za mkataba wa ERC-20*
  • ✕Hitilafu za Ethereum Naming Service (ENS) (zinazodumishwa na taasisi ya ENS)
  • ✕Udhaifu unaohitaji mtumiaji kuwa ameweka wazi API kwa umma, kama vile JSON-RPC au API ya Beacon
  • ✕EngineAPI inachukuliwa kuwa ya kuaminika na haikusudiwi kuwekwa wazi kwa umma
  • ✕Makosa ya uchapaji
  • ✕Majaribio
  • ✕Mashambulizi ya DoS ya mwenza mmoja yanayohitaji juhudi kubwa (endelevu, yanayotumia CPU au kipimo data sana, na/au yanayohitaji zaidi ya pakiti 1 au muamala mnyororoni)
  • ✕Masuala yoyote yanayojulikana hadharani (inajumuisha machapisho ya jukwaa, PR, masuala ya GitHub, ahadi (commits), machapisho ya blogu, jumbe za umma za Discord, n.k.)
  • ✕Chochote ambacho kwa sasa hakina athari ya moja kwa moja kwenye Mtandao Mkuu wa Ethereum.

*Hizi hazijajumuishwa, hata hivyo, wakati mwingine tunaweza kusaidia kuwasiliana na pande zilizoathirika

Sheria za uwindaji wa hitilafu

Programu ya tuzo za hitilafu ni programu ya majaribio na ya hiari ya tuzo kwa jamii yetu hai ya Ethereum ili kuhimiza na kuwatuza wale wanaosaidia kuboresha jukwaa. Sio shindano. Unapaswa kujua kwamba tunaweza kufuta programu wakati wowote, na tuzo ziko chini ya uamuzi wa pekee wa jopo la tuzo za hitilafu la Taasisi ya Ethereum. Kwa kuongezea, hatuwezi kutoa tuzo kwa watu walio kwenye orodha za vikwazo au walio katika nchi zilizo kwenye orodha za vikwazo (k.m., Korea Kaskazini, Iran, n.k). Sheria za mitaa zinatuhitaji kuomba uthibitisho wa utambulisho wako. Unawajibika kwa kodi zote. Tuzo zote zinategemea sheria inayotumika. Hatimaye, majaribio yako hayapaswi kukiuka sheria yoyote au kuhatarisha data yoyote ambayo sio yako na lazima yafanyike kwenye mitandao ya majaribio inayoendeshwa ndani ya nchi.

  1. 1Masuala yasiyo na POC au ambayo tayari yamewasilishwa na mtumiaji mwingine au tayari yanajulikana kwa watunzaji wa vipimo na klijenti hayastahiki tuzo.
  2. 2Ufichuaji wa umma wa udhaifu au kuuripoti kwa wahusika wengine bila makubaliano ya awali hufanya usistahiki tuzo.
  3. 3Wafanyakazi, wakandarasi, watoa huduma au wafadhiliwa wa Taasisi ya Ethereum, au wanachama wa timu za klijenti zilizo ndani ya upeo wa programu ya tuzo, wanaweza kushiriki katika programu tu kwa kukusanya pointi na hawatapokea tuzo za kifedha wakati wa uhusiano husika na kwa siku 90 baada ya kumalizika. Udhaifu uliogunduliwa wakati wa mojawapo ya vipindi hivi, au kupitia taarifa zisizo za umma zilizopatikana kupitia uhusiano kama huo, utaendelea kutostahiki kupata tuzo za kifedha bila kujali ni lini unaripotiwa.
  4. 4Programu ya tuzo ya Ethereum inazingatia vigezo kadhaa katika kuamua tuzo. Maamuzi ya ustahiki, alama na masharti yote yanayohusiana na tuzo yako chini ya uamuzi wa pekee na wa mwisho wa jopo la tuzo za hitilafu la Taasisi ya Ethereum.

Sifa za ukali wa udhaifu

Ukali hutathminiwa kulingana na uwezo wa kipekee wa kila udhaifu uliogunduliwa kufanya yafuatayo:

Ukali wa chini
  • Kukata >0.01% ya wathibitishaji
  • Kusababisha kwa urahisi migawanyiko ya mtandao inayoathiri >0.01% ya mtandao
  • Kuweza kuangusha >0.01% ya mtandao kwa kutuma pakiti moja ya mtandao au muamala mmoja mnyororoni
Ukali wa kati
  • Kukata >1% ya wathibitishaji
  • Kusababisha kwa urahisi migawanyiko ya mtandao inayoathiri >5% ya mtandao
  • Kuweza kuangusha >5% ya mtandao kwa kutuma pakiti moja ya mtandao au muamala mmoja mnyororoni
Ukali wa juu
  • Kukata >33% ya wathibitishaji
  • Kusababisha kwa urahisi migawanyiko ya mtandao inayoathiri >33% ya mtandao
  • Kuweza kuangusha >33% ya mtandao kwa kutuma muamala mmoja mnyororoni
Ukali wa hatari sana
  • Kukata >50% ya wathibitishaji
  • Kutumia vibaya EIP/vipimo au hitilafu ya mteja ili kuunda kiasi kisicho na kikomo cha ETH kwa urahisi ambacho kimekamilishwa na mtandao
  • Kuiba ETH kutoka kwa EOA zote
  • Kuteketeza ETH kutoka kwa EOA zote
  • Kuangusha mtandao mzima kwa kutuma muamala mmoja mbaya mnyororoni ambao unaishia kuharibu wateja wote

Wasilisha hitilafu

Hadi USD 2,000

Chini

Hadi USD 2,000

Hadi pointi 1,000

Wasilisha hitilafu ya hatari ya chini (inafunguka katika kichupo kipya)
Hadi USD 10,000

Kati

Hadi USD 10,000

Hadi pointi 5,000

Wasilisha hitilafu ya hatari ya kati (inafunguka katika kichupo kipya)
Hadi USD 50,000

Juu

Hadi USD 50,000

Hadi pointi 10,000

Wasilisha hitilafu ya hatari ya juu (inafunguka katika kichupo kipya)
Hadi USD 1,000,000

Hatari sana

Hadi USD 1,000,000

Hadi pointi 25,000

Wasilisha hitilafu ya hatari sana (inafunguka katika kichupo kipya)

Ubao wa wanaoongoza wa Tuzo za Hitilafu za Tabaka la Utekelezaji

Tafuta hitilafu za tabaka la utekelezaji ili uongezwe kwenye ubao huu wa wanaoongoza

Ubao wa wanaoongoza wa Tuzo za Hitilafu za Tabaka la Mwafaka

Tafuta hitilafu za tabaka la mwafaka ili uongezwe kwenye ubao huu wa wanaoongoza

Maswali yanayoulizwa mara kwa mara

Hakuna tarehe ya mwisho iliyowekwa kwa sasa. Tazama blogu ya Taasisi ya Ethereum (inafunguka katika kichupo kipya) kwa habari za hivi punde.

Tuzo zinalipwa kwa ETH au DAI baada ya wasilisho kuthibitishwa, kwa kawaida siku chache baadaye. Sheria za eneo zinatuhitaji tuombe uthibitisho wa utambulisho wako. Kwa kuongezea, tutahitaji anwani yako ya ETH.

Tunaweza kutoa tuzo yako kwa shirika la hisani lililoanzishwa unalochagua.

Tunalenga kujibu mawasilisho haraka iwezekanavyo. Kutokana na ongezeko la mawasilisho ya AI, tafadhali ruhusu hadi wiki moja ili tujibu wasilisho lako.

Kuwasilisha bila kujulikana au kwa jina bandia ni Sawa, lakini kutakufanya usistahili kupata tuzo za ETH/DAI. Ili ustahiki kupata tuzo za ETH/DAI, tunahitaji jina lako halisi na uthibitisho wa utambulisho wako utumwe, ukiwa umesimbwa kwa njia fiche kwa kutumia PGP kwenye tovuti yetu salama ya kutuma, kwa timu yetu ya kisheria katika Taasisi ya Ethereum ambao ndio wakaguzi pekee wa nyaraka. Kutoa tuzo yako kwa shirika la hisani hakuhitaji utambulisho wako.

Tafadhali tujulishe ikiwa hutaki jina/jina lako la utani lionyeshwe kwenye ubao wa wanaoongoza.

Kila udhaifu / suala linalopatikana hupewa alama. Wawindaji wa tuzo huorodheshwa kwenye ubao wetu wa wanaoongoza kwa jumla ya pointi.