Tiền thưởng lỗi Glamsterdam
Bản nâng cấp Glamsterdam sẽ nằm trong phạm vi khi các phiên bản ứng viên của nó được công bố trên blog của Tổ chức Ethereum (mở trong tab mới). Các đặc tả của Glamsterdam và Đề xuất Cải tiến Ethereum (EIP) hiện đã nằm trong phạm vi với hệ số nhân 0.5×.
Các quy tắc đặc biệt và hệ số nhân dưới đây chỉ áp dụng cho các lỗi cụ thể của bản nâng cấp Glamsterdam. Các nhà nghiên cứu nên nhắm mục tiêu vào các nhánh máy khách không ổn định mới nhất và kiểm tra các vấn đề (issues) cũng như yêu cầu kéo (pull requests) hiện có. Các lỗi đã được đề cập trong một vấn đề hoặc yêu cầu kéo đang mở sẽ không đủ điều kiện.
Các máy khách đã phát hành, Đề xuất Cải tiến Ethereum (EIP) và các đặc tả hiện nằm trong phạm vi, theo bài đăng trên blog (mở trong tab mới).
Hệ số nhân phần thưởng
- 0.5×: Từ khi xuất bản bài đăng trên blog về phiên bản ứng viên cho đến đợt nâng cấp mạng thử nghiệm Sepolia theo lịch trình. Các phát hiện ở mức Trung bình, Cao và Nghiêm trọng đều nằm trong phạm vi. Các đặc tả của Glamsterdam và Đề xuất Cải tiến Ethereum (EIP) hiện đã đủ điều kiện cho hệ số nhân này.
- 2.0×: Từ 24 giờ sau khi Kỷ nguyên nâng cấp Sepolia đã chung cuộc cho đến bản nâng cấp Hoodi. Các phát hiện ở mức Thấp, Trung bình, Cao và Nghiêm trọng đều nằm trong phạm vi.
- 1.5×: Từ bản nâng cấp Hoodi cho đến một tuần trước đợt nâng cấp Mạng chính theo lịch trình. Các phát hiện ở mức Thấp, Trung bình, Cao và Nghiêm trọng đều nằm trong phạm vi.
Hệ số nhân sẽ được xác định dựa trên thời điểm báo cáo được gửi, không phải thời điểm phát hiện ra lỗi. Số tiền phần thưởng được hiển thị ở những nơi khác trên trang này là các mức giới hạn tiêu chuẩn; hệ số nhân của Glamsterdam sẽ điều chỉnh các mức giới hạn đó và không đảm bảo việc trao thưởng.
Các phát hiện về Glamsterdam có mức độ nghiêm trọng thấp sẽ không nhận được phần thưởng trong khoảng thời gian áp dụng hệ số nhân 0.5×. Tính đủ điều kiện dựa trên mức độ nghiêm trọng đã được xác thực.
Ngày nâng cấp có thể thay đổi.
Các quy tắc của chương trình tiền thưởng lỗi hiện tại tiếp tục áp dụng cho các báo cáo về Glamsterdam. Tất cả các báo cáo không liên quan đến Glamsterdam đều tuân theo các quy tắc gửi báo cáo tiền thưởng lỗi thông thường.
Các máy khách có trong chương trình tiền thưởng
Trong phạm vi
Chương trình tiền thưởng lỗi của chúng tôi bao trùm từ đầu đến cuối: từ tính đúng đắn của các giao thức (chẳng hạn như mô hình đồng thuận chuỗi khối, các giao thức wire và p2p, bằng chứng cổ phần, v.v.) và sự tuân thủ giao thức/triển khai cho đến bảo mật mạng lưới và tính toàn vẹn của đồng thuận. Bảo mật máy khách cổ điển cũng như bảo mật của các nguyên thủy mật mã cũng là một phần của chương trình. Tất cả các tiết lộ lỗi và báo cáo lỗ hổng phải được thực hiện thông qua biểu mẫu gửi báo cáo lỗi (mở trong tab mới) của chúng tôi.
Quy tắc xác nhận nhanh (mở trong tab mới) hiện nằm trong phạm vi của Chương trình tiền thưởng lỗi.
Lỗi máy khách
Các máy khách chạy mạng lưới Ethereum, và chúng cần tuân theo logic được đặt ra trong đặc tả cũng như phải an toàn trước các cuộc tấn công tiềm ẩn. Những lỗi chúng tôi muốn tìm kiếm liên quan đến việc triển khai giao thức.
Hiện tại, các máy khách lớp thực thi (Besu, Erigon, Ethrex, Geth, Nethermind và Reth) và các máy khách lớp đồng thuận (Grandine, Lighthouse, Lodestar, Nimbus, Prysm và Teku) đều được bao gồm trong Chương trình tiền thưởng lỗi.
Các loại lỗi
- Các vấn đề không tuân thủ đặc tả
- Sự cố treo máy bất ngờ, lỗ hổng RCE hoặc từ chối dịch vụ (DOS)
- Bất kỳ vấn đề nào gây ra sự phân tách đồng thuận không thể khắc phục khỏi phần còn lại của mạng lưới
Các liên kết hữu ích
Lỗi trình biên dịch ngôn ngữ
Các trình biên dịch Solidity và Vyper nằm trong phạm vi của chương trình tiền thưởng lỗi. Vui lòng bao gồm tất cả các chi tiết cần thiết để tái tạo lỗ hổng như: Chương trình đầu vào gây ra lỗi, Phiên bản trình biên dịch bị ảnh hưởng, Phiên bản EVM mục tiêu, Framework/IDE nếu có, Môi trường thực thi/máy khách EVM nếu có và Hệ điều hành. Vui lòng bao gồm các bước để tái tạo lỗi bạn đã tìm thấy càng chi tiết càng tốt.
Solidity và Vyper không có các đảm bảo về bảo mật liên quan đến việc biên dịch đầu vào không đáng tin cậy – và chúng tôi không trao phần thưởng cho các sự cố treo trình biên dịch do dữ liệu được tạo ra với mục đích xấu.
Các liên kết hữu ích
Tiêu chuẩn về mức độ nghiêm trọng của lỗ hổng
Mức độ nghiêm trọng được đánh giá dựa trên khả năng riêng biệt của từng lỗ hổng được phát hiện để thực hiện những điều sau:
Tác động cạn kiệt tài nguyên giả định phần cứng nút được đề xuất của Ethereum (EIP-7870 (mở trong tab mới)).
Gửi báo cáo lỗi
Bảng xếp hạng Tiền thưởng Lỗi Lớp thực thi
Tìm các lỗi lớp thực thi để được thêm vào bảng xếp hạng này
Bảng xếp hạng Tiền thưởng Lỗi Lớp đồng thuận
Tìm các lỗi lớp đồng thuận để được thêm vào bảng xếp hạng này
Các câu hỏi thường gặp
Gửi báo cáo ẩn danh hoặc dùng biệt danh là được, nhưng sẽ khiến bạn không đủ điều kiện nhận phần thưởng ETH/DAI. Để đủ điều kiện nhận phần thưởng ETH/DAI, chúng tôi yêu cầu bạn gửi tên thật và bằng chứng nhận dạng, được mã hóa bằng PGP trên trang web gửi dữ liệu an toàn của chúng tôi, cho đội ngũ pháp lý của Tổ chức Ethereum, những người duy nhất xem xét tài liệu. Việc quyên góp tiền thưởng của bạn cho một tổ chức từ thiện không yêu cầu danh tính của bạn.
Vui lòng cho chúng tôi biết nếu bạn không muốn tên/biệt danh của mình hiển thị trên bảng xếp hạng.