Glamsterdam Bug Bounty
The Glamsterdam upgrade will be in scope once its release candidates are announced on the Ethereum Foundation blog (відкривається в новій вкладці). Glamsterdam specifications and EIPs are already in scope with a 0.5× multiplier.
The special rules and multipliers below only apply to bugs specific to the Glamsterdam upgrade. Researchers should target the latest unstable client branches and check for existing issues and pull requests. Bugs already covered by an open issue or pull request are not eligible.
Released clients, EIPs and specifications are now in scope, as per the blog post (відкривається в новій вкладці).
Reward multipliers
- 0.5×: From publication of the release candidate blog post until the scheduled Sepolia testnet upgrade. Medium, High and Critical findings are in scope. Glamsterdam specifications and EIPs are already eligible for this multiplier.
- 2.0×: From 24 hours after the Sepolia upgrade epoch finalizes until the Hoodi upgrade. Low, Medium, High and Critical findings are in scope.
- 1.5×: From the Hoodi upgrade until one week before the scheduled mainnet upgrade. Low, Medium, High and Critical findings are in scope.
The multiplier will be determined by when a report is submitted, not when the bug was discovered. The reward amounts shown elsewhere on this page are the standard caps; Glamsterdam multipliers adjust those caps and do not guarantee an award.
Low-severity Glamsterdam findings do not receive rewards during the 0.5× window. Eligibility is based on validated severity.
Upgrade dates are subject to change.
The existing bug bounty rules continue to apply to Glamsterdam reports. All reports unrelated to Glamsterdam follow the normal bug bounty submission rules.
Клієнти, що беруть участь у програмі винагород
У межах програми
Наша програма Bug Bounty охоплює все від початку до кінця: від надійності протоколів (таких як модель консенсусу блокчейну, мережеві та однорангові протоколи, доказ частки (PoS) тощо) та відповідності протоколу/реалізації до безпеки мережі та цілісності консенсусу. Класична безпека клієнтів, а також безпека криптографічних примітивів також є частиною програми. Усі розкриття багів та повідомлення про вразливості повинні здійснюватися через нашу форму подання багів (відкривається в новій вкладці).
Fast Confirmation Rule (відкривається в новій вкладці) is now in scope of the Bug Bounty Program.
Баги клієнтів
Клієнти забезпечують роботу мережі Етеріум, і вони повинні дотримуватися логіки, викладеної в специфікації, та бути захищеними від потенційних атак. Баги, які ми хочемо знайти, пов'язані з реалізацією протоколу.
Наразі клієнти рівня виконання (Бесу, Ерігон, Geth, Незермайнд та Рет) і клієнти рівня консенсусу (Лайтхаус, Лодстар, Німбус, Теку та Призм) включені до програми Bug Bounty.
Типи багів
- Проблеми невідповідності специфікації
- Неочікувані збої, RCE або вразливості до відмови в обслуговуванні (DOS)
- Будь-які проблеми, що спричиняють непоправні розбіжності консенсусу з рештою мережі
Корисні посилання
Баги компіляторів мов
Компілятори Solidity та Vyper входять до сфери дії програми Bug Bounty. Будь ласка, додайте всі деталі, необхідні для відтворення вразливості, такі як: вхідна програма, що викликає баг, уражена версія компілятора, цільова версія EVM, фреймворк/IDE (якщо застосовно), середовище виконання EVM/клієнт (якщо застосовно) та операційна система. Будь ласка, опишіть кроки для відтворення знайденого вами багу якомога детальніше.
Solidity та Vyper не надають гарантій безпеки щодо компіляції ненадійних вхідних даних, і ми не видаємо винагороди за збої компілятора на зловмисно згенерованих даних.
Корисні посилання
Кваліфікація серйозності вразливостей
Серйозність оцінюється на основі унікальної здатності кожної виявленої вразливості робити наступне:
Надіслати баг
Таблиця лідерів Bug Bounty рівня виконання
Знайдіть баги рівня виконання, щоб потрапити до цієї таблиці лідерів
Таблиця лідерів Bug Bounty рівня консенсусу
Знайдіть баги рівня консенсусу, щоб потрапити до цієї таблиці лідерів
Часті запитання
Подання заявки анонімно або під псевдонімом допускається, але це позбавить вас права на винагороди в ETH/DAI. Щоб мати право на винагороди в ETH/DAI, ми вимагаємо надіслати ваше справжнє ім'я та доказ вашої особи, зашифровані за допомогою PGP на нашому безпечному вебсайті для передачі даних, нашій юридичній команді у Фундації Ethereum, яка є єдиним рецензентом документації. Пожертвування вашої винагороди на благодійність не вимагає підтвердження вашої особи.
Будь ласка, повідомте нам, якщо ви не хочете, щоб ваше ім'я/нікнейм відображалися в таблиці лідерів.