参与悬赏计划的客户端
适用范围
我们的漏洞悬赏计划涵盖所有 环节：从协议的可靠性（如区块链共识模型、线路协议和对等网络协议、工作量证明、权益证明等）及协议/实施是否符合规到网络安全和共识完整性。传统的客户端安全性以及加密加基元的安全性也是该计划的一部分。如有疑问请发送电子邮件至 bounty@eysum.org 向我们询问。
规范漏洞
以太坊规范详细说明了执行层和共识层的设计原理。
执行层规范
查看以下注释可能会有所帮助：
漏洞类型
- 安全性/触发崩溃的确定性漏洞
- 拒绝服务 (DOS) 的潜在漏洞
- 假设的不一致，例如诚实的验证者被惩罚的情况
- 计算或参数的不一致性
客户端漏洞
客户端运行以太坊网络，它们需要遵循规范中规定的逻辑并确保安全防范潜在的攻击。我们想要找出与实施协议相关的漏洞。
目前执行层客户端（Besu、Erigon、Geth 和 Nethermind）和共识层客户端（Lodestar、Nimbus、Teku 和 Prysm）都被列入漏洞奖励计划。当它们完成审计并且可用于生产环境后，更多的客户端会加 入进来。
漏洞类型
- 规范不兼容问题
- 意外崩溃、远程代码执行或拒绝服务 (DOS) 漏洞
- 导致共识与网络其他部分不可弥补地分裂的问题
Solidity 漏洞
有关该范围包含那些漏洞的详细信息，请参阅 Solidity SECURITY.MD。
Solidity 不对编译不信任输入提供安全保证 - 而且我们不会为 solc 编译器在编译恶意生成的数据时出现崩溃提供奖励。
帮助链接
SECURITY.md
存款合约漏洞
信标链存款合约的规范和源代码涵盖在漏洞悬赏计划中。
超出范围
漏洞悬赏计划仅包括悬赏范围中列出的目标漏洞。这意味着我们的基础设置，例如网页、域名系统 (DNS)、邮箱等并不在悬赏范围内。REC20 合约漏洞通常不属于悬赏范围。然而我们可以帮助联系受影响的各方，例如合约作者或交易方。以太坊名称服务 (ENS) 由以太坊名称服务基金会维护，不在悬赏范围内。
提交漏洞
每发现一个有效漏洞，你都会获得奖励。奖励多少将因严重程度而异。严重程度是按照漏洞对以太坊网络的影响及出现的可能性，依据开放式 Web 应用程序安全项目 (OWASP) 风险评级模型计算的。 查看开放式网络应用程序安全项目方法
以太坊基金会将基于以下因素授予奖励：
描述的质量：组织清晰、描述清楚的提交者可获得更高的奖励。
可复现能力的质量：必须提供概念证明 (POC) 才能获得奖励。请提供测试代码、脚本和详细说明。我们越容易复现和核实漏洞，奖励越高。
修复质量（如果包含）：清晰描述了如何修复问题的提交者可获得更高的奖励。
低
最高 2,000 USD
最多 1,000 积分
严重程度
- 低影响力，中可能性
- 中影响力，低可能性
示例
中
最高 10,000 USD
最多 5,000 积分
严重程度
- 高影响力，低可能性
- 中影响力，中可能性
- 低影响力，高可能性
示例
高
最高 50,000 USD
最多 10,000 积分
严重程度
- 高影响力，中可能性
- 中影响力，高可能性
示例
漏洞悬赏规则
漏洞悬赏计划是一项针对充满活力的以太坊社区的实验性和自由裁量的奖励计划，旨在鼓励和奖励那些一直帮助改善平台的人。这项计划不是比赛。你应该知道我们可以随时取消该计划，并且奖励金额由以太坊基金会漏洞悬赏小组全权决定。此外，我们无法向在制裁名单上的个人或所在国家/地区（例如朝鲜、伊朗等）在制裁名单上的个人颁发奖励。当地法律要求我们向你索取身份证明。你需要为奖金支付相应税赋。所有奖励均受适用法律的约束。最后，你的测试不得违反任何法律或损坏任何非你所有的数据并且必须在本地运行的测试网上进行。
- 未提供概念证明的问题、已经被其他用户提交过的问题或者规范及客户端维护人员已了解的问题，不符合奖励条件。
- 已经公开的漏洞不适用于悬赏计划。
- 以太坊基金会的员工和承包商或赏金计划范围内的客户端团队只能在积分累积的情况下参与该计划，并且不会获得金钱奖励。
- 以太坊悬赏计划将考虑一系列影响奖赏金额的因素。参与资格、分数以及所有奖赏相关的因素将由以太坊基金会漏洞悬赏小组全权决定。
执行层漏洞奖金排行榜
找出执行层漏洞，跻身以下排行榜
共识层漏洞奖金排行榜
找到共识层漏洞，以将其添加到排行榜
常见问题
What should a good vulnerability submission look like?
See a real example of a quality vulnerability submission.
Is the bug bounty program is time limited?
No.
How are bounties paid out?
Rewards are paid out in ETH or DAI.
Can I donate my reward to charity?
Yes!
I reported an issue / vulnerability but have not received a response!
Please allow a few days for someone to respond to your submission.
I want to be anonymous / I do not want my name on the leader board.
You can do this, but it might make you ineligble for rewards.
What are the points in the leaderboard?
Every found vulnerability / issue is assigned a score
Do you have a PGP key?
Yes. Expand for details.
有问题？
发邮件给我们： bounty@ethereum.org
