Відкрито для подання
Програма Bug Bounty
Заробіть до 1 000 000 USD та місце в таблиці лідерів, знаходячи баги протоколу, клієнтів та компіляторів мов, що впливають на мережу Етеріум.
Клієнти, що беруть участь у програмі винагород
У межах програми
Наша програма Bug Bounty охоплює все від початку до кінця: від надійності протоколів (таких як модель консенсусу блокчейну, мережеві та однорангові протоколи, доказ частки (PoS) тощо) та відповідності протоколу/реалізації до безпеки мережі та цілісності консенсусу. Класична безпека клієнтів, а також безпека криптографічних примітивів також є частиною програми. Усі розкриття багів та повідомлення про вразливості повинні здійснюватися через нашу форму подання багів (opens in a new tab).
Баги клієнтів
Клієнти забезпечують роботу мережі Етеріум, і вони повинні дотримуватися логіки, викладеної в специфікації, та бути захищеними від потенційних атак. Баги, які ми хочемо знайти, пов'язані з реалізацією протоколу.
Наразі клієнти рівня виконання (Бесу, Ерігон, Geth, Незермайнд та Рет) і клієнти рівня консенсусу (Лайтхаус, Лодстар, Німбус, Теку та Призм) включені до програми Bug Bounty.
Типи багів
- Проблеми невідповідності специфікації
- Неочікувані збої, RCE або вразливості до відмови в обслуговуванні (DOS)
- Будь-які проблеми, що спричиняють непоправні розбіжності консенсусу з рештою мережі
Корисні посилання
Баги компіляторів мов
Компілятори Solidity та Vyper входять до сфери дії програми Bug Bounty. Будь ласка, додайте всі деталі, необхідні для відтворення вразливості, такі як: вхідна програма, що викликає баг, уражена версія компілятора, цільова версія EVM, фреймворк/IDE (якщо застосовно), середовище виконання EVM/клієнт (якщо застосовно) та операційна система. Будь ласка, опишіть кроки для відтворення знайденого вами багу якомога детальніше.
Solidity та Vyper не надають гарантій безпеки щодо компіляції ненадійних вхідних даних, і ми не видаємо винагороди за збої компілятора на зловмисно згенерованих даних.
Корисні посилання
Кваліфікація серйозності вразливостей
Серйозність оцінюється на основі унікальної здатності кожної виявленої вразливості робити наступне:
- Слешинг >0.01% валідаторів
- Легко спричинити розділення мережі, що впливає на >0.01% мережі
- Здатність вивести з ладу >0.01% мережі шляхом надсилання одного мережевого пакета або ончейн-транзакції
- Слешинг >1% валідаторів
- Легко спричинити розділення мережі, що впливає на >5% мережі
- Здатність вивести з ладу >5% мережі шляхом надсилання одного мережевого пакета або ончейн-транзакції
- Слешинг >33% валідаторів
- Легко спричинити розділення мережі, що впливає на >33% мережі
- Здатність вивести з ладу >33% мережі шляхом надсилання однієї ончейн-транзакції
- Слешинг >50% валідаторів
- Використати помилку в EIP/специфікації або клієнті, щоб легко створити нескінченну кількість ETH, яка буде фіналізована мережею
- Вкрасти ETH з усіх EOA
- Спалити ETH з усіх EOA
- Вивести з ладу всю мережу шляхом надсилання однієї зловмисної ончейн-транзакції, яка призведе до збою всіх клієнтів
Надіслати баг
Таблиця лідерів Bug Bounty рівня виконання
Знайдіть баги рівня виконання, щоб потрапити до цієї таблиці лідерів
Таблиця лідерів Bug Bounty рівня консенсусу
Знайдіть баги рівня консенсусу, щоб потрапити до цієї таблиці лідерів
Часті запитання
Наразі кінцева дата не встановлена. Останні новини читайте в блозі Фундації Ethereum (opens in a new tab).
Винагороди виплачуються в ETH або DAI після перевірки поданої заявки, зазвичай через кілька днів. Місцеві закони вимагають від нас запитувати доказ вашої особи. Крім того, нам знадобиться ваша адреса ETH.
Ми можемо пожертвувати вашу винагороду визнаній благодійній організації на ваш вибір.
Ми намагаємося відповідати на заявки якомога швидше. Через збільшення кількості заявок, згенерованих штучним інтелектом, будь ласка, зачекайте до одного тижня на нашу відповідь.
Подання заявки анонімно або під псевдонімом допускається, але це позбавить вас права на винагороди в ETH/DAI. Щоб мати право на винагороди в ETH/DAI, ми вимагаємо надіслати ваше справжнє ім'я та доказ вашої особи, зашифровані за допомогою PGP на нашому безпечному вебсайті для передачі даних, нашій юридичній команді у Фундації Ethereum, яка є єдиним рецензентом документації. Пожертвування вашої винагороди на благодійність не вимагає підтвердження вашої особи.
Будь ласка, повідомте нам, якщо ви не хочете, щоб ваше ім'я/нікнейм відображалися в таблиці лідерів.
Кожній знайденій вразливості / проблемі присвоюється оцінка. Мисливці за помилками ранжуються в нашій таблиці лідерів за загальною кількістю балів.
Останнє оновлення сторінки: 20 травня 2026 р.
