参与奖励计划的客户端
适用范围
我们的漏洞赏金计划涵盖端到端：从协议的健全性（例如区块链共识模型、有线和点对点协议、权益证明等）和协议/实现合规性到网络安全和共识完整性。经典的客户端安全性以及加密原语的安全性也是该计划的一部分。如有疑问，请发送电子邮件至 bounty@ethereum.org 并询问我们。你还可以直接向 bounty@ethereum.orgopens email client 提交披露/漏洞，在这种情况下，我们要求你使用我们的 PGP 密钥opens in a new tab为信息加密。
规范漏洞
以太坊规范详细说明了执行层和共识层的设计原理。
执行层规范opens in a new tab
漏洞类型
- 破坏安全性/最终确定性的漏洞
- 拒绝服务 (DOS) 的潜在漏洞
- 假设的不一致，例如诚实的验证者可能被惩罚的情况
- 计算或参数不一致
客户端漏洞
客户端运行以太坊网络，它们需要遵循规范中规定的逻辑并确保安全防范潜在的攻击。我们想要找出与实施协议相关的漏洞。
目前执行层客户端（Besu、Erigon、Geth、Nethermind、Reth）和共识层客户端（Lighthouse、Lodestar、Nimbus、Teku 和 Prysm）都被列入漏洞奖金计划。当它们完成审计并且可用于生产环境后，更多的客户端会加入进来。
漏洞类型
- 规范不兼容问题
- 意外崩溃、远程代码执行或拒绝服务 (DOS) 漏洞
- 导致与网络其他部分出现无法恢复的共识分歧的任何问题
语言编译器漏洞
Solidity 和 Vyper 编译器属于漏洞悬赏计划的范围。请提供重现漏洞所需的所有详细信息，例如触发漏洞的输入程序、受影响的编译器版本、目标以太坊虚拟机 (EVM) 版本、框架/集成开发环境 (IDE)（如适用）、以太坊虚拟机 (EVM) 执行环境/客户端（如适用）以及操作系统等，请尽量提供详细的步骤，以重现你发现的漏洞。
Solidity 和 Vyper 不对编译不信任输入提供安全保证 - 而且针对编译器在编译恶意生成的数据时出现崩溃，我们不会提供奖励。
存款合约漏洞
信标链存款合约的规范和源代码涵盖在漏洞悬赏计划中。
依赖关系错误
某些依赖关系对于以太坊网络的运行至关重要，其中一些已被添加到漏洞赏金计划中。目前，漏洞赏金计划中包含的依赖项列表是 C-KZG-4844 和 Go-KZG-484。
漏洞严重性评定标准
严重性根据已发现漏洞的以下能力进行评估：
低严重性
- 惩罚 >0.01% 的验证者
- 轻易地导致网络分裂，影响 >0.01% 的网络
- 能够通过发送单个网络数据包或一笔链上交易，使 >0.01% 的网络瘫痪
中等严重性
- 惩罚 >1% 的验证者
- 轻易地导致网络分裂，影响 >5% 的网络
- 能够通过发送单个网络数据包或一笔链上交易，使 >5% 的网络瘫痪
高严重性
- 惩罚 >33% 的验证者
- 轻易地导致网络分裂，影响 >33% 的网络
- 能够通过发送单个网络数据包或一笔链上交易，使 >33% 的网络瘫痪
危急严重性
- 惩罚 >50% 的验证者
- 利用 EIP/规范或客户端漏洞，轻易创造无限量的 ETH，并被网络最终确定
- 从所有 EOA 窃取 ETH
- 从所有 EOA 销毁 ETH
- 通过发送单个最终导致所有客户端崩溃的恶意链上交易，使整个网络瘫痪
超出范围
只有在范围内的目标才是漏洞赏金计划的一部分。不符合该计划条件的漏洞包括：
- 基础设施漏洞——例如网页、DNS、电子邮件等。*
- ERC-20 合约漏洞*
- 以太坊域名服务 (ENS) 漏洞（由 ENS 基金会维护）
- 需要用户公开暴露 API（例如 JSON-RPC 或 Beacon API）的漏洞
- 拼写错误
- 测试
- 高工作量（持续、CPU 或带宽密集型，和/或需要超过 1 个数据包或一笔链上交易）的单点 DoS 攻击
- 任何公开已知的问题（包括论坛帖子、PR、GitHub 问题、提交、博客文章、公开的 Discord 消息等）
*这些通常不包括在内，但我们可以在这种情况下帮助联系受影响方，例如作者或交易所
提交漏洞
每发现一个有效漏洞，你都会获得奖励。奖励多少将因严重程度而异。严重程度是按照漏洞对以太坊网络的影响及出现的可能性，依据开放式 Web 应用程序安全项目风险评级模型计算的。 查看开放式 Web 应用程序安全项目方法opens in a new tab
以太坊基金会还将基于以下因素提供奖励：
描述的优劣：组织清晰、描述清楚的漏洞提交可获得更高的奖励。
可复现性的优劣：必须提供概念证明 (POC) 才符合奖励条件。请提供测试代码、脚本和详细说明。我们越容易复现和核实漏洞，奖励越高。
修复方式的优劣（如果包含）：清晰描述了如何修复问题的漏洞提交可获得更高的奖励。
低
最高 2,000 USD
最多 1,000 积分
严重程度
- 低影响力，中等可能性
- 中等影响力，低可能性
示例
攻击者有时可以让一个节点进入一种非正常状态：以 1/100 的比例丢弃验证者发来的证明信息。
中
最高 10,000 USD
最多 5,000 积分
严重程度
- 高影响力，低可能性
- 中等影响力，中等可能性
- 低影响力，高可能性
示例
攻击者可以成功针对一类节点（对等节点 ID 以 4 个 0 字节开头）发动日蚀攻击
高
最高 50,000 USD
最多 10,000 积分
严重程度
- 高影响力，中等可能性
- 中等影响力，高可能性
示例
攻击者可以成功地对大部分网络进行分区，而且攻击者可以轻易触发这种漏洞
高危
最高 250,000 USD
最多 25,000 积分
严重程度
- 高影响力，高可能性
示例
攻击者可以成功地在一种主流客户端进行远程代码执行，而且攻击者可以轻易触发这种漏洞
漏洞悬赏规则
漏洞赏金计划是一项针对活跃以太坊社区的可自由裁量的实验性奖励计划，旨在鼓励和奖励那些一直帮助改善平台的人。这项计划不是比赛。你应该知道我们可以随时取消该计划，并且奖励由以太坊基金会漏洞赏金小组全权决定。此外，我们无法向制裁名单上的个人或所在国家/地区（例如朝鲜、伊朗等）在制裁名单上的个人颁发奖励。当地法律要求我们向你索取身份证明。你需支付所有和奖励相关的税赋。所有奖励均受适用法律的约束。最后，你的测试不得违反任何法律或损害任何非你所有的数据，并且必须在本地运行的测试网上进行。
- 未涉及概念证明的问题、已经被其他用户提交过的问题或者规范及客户端维护人员已了解的问题，不符合奖励条件。
- 未经事先同意公开披露漏洞或将其向其他方报告，都会使漏洞不符合奖励条件。
- 以太坊基金会的员工和承包商或悬赏计划范围内的客户端团队可参与该计划，但只能累积积分且不会获得金钱奖励。
- 以太坊悬赏计划在决定奖励时会考虑许多可变因素。参与资格的判定、分数以及所有奖励相关事项由以太坊基金会漏洞悬赏小组全权决定。
执行层漏洞奖金排行榜
找到执行层漏洞，跻身本排行榜
共识层漏洞奖金排行榜
找出共识层漏洞，跻身本排行榜
有问题？
发电子邮件给我们： bounty@ethereum.orgopens email client