Програма Bug Bounty для Гламстердам
Оновлення Гламстердам увійде до сфери дії програми, щойно про його реліз-кандидати буде оголошено в блозі Фундації Ethereum (відкривається в новій вкладці). Специфікації Гламстердам та EIP вже входять до сфери дії з множником 0.5×.
Спеціальні правила та множники, наведені нижче, застосовуються лише до багів, специфічних для оновлення Гламстердам. Дослідникам слід орієнтуватися на останні нестабільні гілки клієнтів і перевіряти наявність існуючих проблем та запитів на злиття. Баги, які вже охоплені відкритою проблемою або запитом на злиття, не підлягають винагороді.
Випущені клієнти, EIP та специфікації тепер входять до сфери дії, як зазначено в публікації блогу (відкривається в новій вкладці).
Множники винагород
- 0.5×: Від публікації допису в блозі про реліз-кандидат до запланованого оновлення тестової мережі Sepolia. Вразливості середньої, високої та критичної серйозності входять до сфери дії. Специфікації Гламстердам та EIP вже підпадають під цей множник.
- 2.0×: Від 24 годин після того, як епоха оновлення Sepolia фіналізується, до оновлення Hoodi. Вразливості низької, середньої, високої та критичної серйозності входять до сфери дії.
- 1.5×: Від оновлення Hoodi до одного тижня перед запланованим оновленням Головної мережі. Вразливості низької, середньої, високої та критичної серйозності входять до сфери дії.
Множник визначатиметься часом подання звіту, а не часом виявлення багу. Суми винагород, вказані в інших місцях на цій сторінці, є стандартними лімітами; множники Гламстердам коригують ці ліміти та не гарантують отримання винагороди.
Вразливості Гламстердам низької серйозності не отримують винагород протягом вікна 0.5×. Право на винагороду базується на підтвердженій серйозності.
Дати оновлень можуть бути змінені.
Існуючі правила програми Bug Bounty продовжують застосовуватися до звітів щодо Гламстердам. Усі звіти, не пов'язані з Гламстердам, підпорядковуються звичайним правилам подання звітів про баги.
Клієнти, що беруть участь у програмі винагород
У межах програми
Наша програма Bug Bounty охоплює все від початку до кінця: від надійності протоколів (таких як модель консенсусу блокчейну, мережеві та однорангові протоколи, доказ частки (PoS) тощо) та відповідності протоколу/реалізації до безпеки мережі та цілісності консенсусу. Класична безпека клієнтів, а також безпека криптографічних примітивів також є частиною програми. Усі розкриття багів та повідомлення про вразливості повинні здійснюватися через нашу форму подання багів (відкривається в новій вкладці).
Правило швидкого підтвердження (відкривається в новій вкладці) тепер входить до сфери дії програми Bug Bounty.
Баги клієнтів
Клієнти забезпечують роботу мережі Етеріум, і вони повинні дотримуватися логіки, викладеної в специфікації, та бути захищеними від потенційних атак. Баги, які ми хочемо знайти, пов'язані з реалізацією протоколу.
Наразі клієнти рівня виконання (Бесу, Ерігон, Ethrex, Geth, Незермайнд та Рет) і клієнти рівня консенсусу (Grandine, Лайтхаус, Лодстар, Німбус, Призм та Теку) включені до програми Bug Bounty.
Типи багів
- Проблеми невідповідності специфікації
- Неочікувані збої, RCE або вразливості до відмови в обслуговуванні (DOS)
- Будь-які проблеми, що спричиняють непоправні розбіжності консенсусу з рештою мережі
Корисні посилання
Баги компіляторів мов
Компілятори Solidity та Vyper входять до сфери дії програми Bug Bounty. Будь ласка, додайте всі деталі, необхідні для відтворення вразливості, такі як: вхідна програма, що викликає баг, уражена версія компілятора, цільова версія EVM, фреймворк/IDE (якщо застосовно), середовище виконання EVM/клієнт (якщо застосовно) та операційна система. Будь ласка, опишіть кроки для відтворення знайденого вами багу якомога детальніше.
Solidity та Vyper не надають гарантій безпеки щодо компіляції ненадійних вхідних даних, і ми не видаємо винагороди за збої компілятора через зловмисно згенеровані дані.
Корисні посилання
Кваліфікація серйозності вразливостей
Серйозність оцінюється на основі унікальної здатності кожної виявленої вразливості робити наступне:
Вплив вичерпання ресурсів передбачає використання рекомендованого апаратного забезпечення вузла Етеріуму (EIP-7870 (відкривається в новій вкладці)).
Надіслати баг
Таблиця лідерів Bug Bounty рівня виконання
Знайдіть баги рівня виконання, щоб потрапити до цієї таблиці лідерів
Таблиця лідерів Bug Bounty рівня консенсусу
Знайдіть баги рівня консенсусу, щоб потрапити до цієї таблиці лідерів
Часті запитання
Подання заявки анонімно або під псевдонімом допускається, але це позбавить вас права на винагороди в ETH/DAI. Щоб мати право на винагороди в ETH/DAI, ми вимагаємо надіслати ваше справжнє ім'я та доказ вашої особи, зашифровані за допомогою PGP на нашому безпечному вебсайті для передачі даних, нашій юридичній команді у Фундації Ethereum, яка є єдиним рецензентом документації. Пожертвування вашої винагороди на благодійність не вимагає підтвердження вашої особи.
Будь ласка, повідомте нам, якщо ви не хочете, щоб ваше ім'я/нікнейм відображалися в таблиці лідерів.