Otevřeno pro hlášení
Program Bug Bounty
Získejte až 1 000 000 USD a místo v žebříčku nalezením chyb v protokolu, klientech a kompilátorech jazyků, které ovlivňují síť Ethereum.
Klienti zahrnutí do odměn
V rozsahu
Náš program Bug Bounty pokrývá vše od začátku do konce: od spolehlivosti protokolů (jako je model konsensu blockchainu, síťové a p2p protokoly, důkaz podílem (PoS) atd.) a souladu protokolu/implementace až po bezpečnost sítě a integritu konsensu. Součástí programu je také klasická bezpečnost klientů a bezpečnost kryptografických primitiv. Všechna odhalení chyb a hlášení zranitelností musí být provedena prostřednictvím našeho formuláře pro nahlášení chyby (opens in a new tab).
Chyby klientů
Klienti provozují síť Ethereum a musí dodržovat logiku stanovenou ve specifikaci a být zabezpečeni proti potenciálním útokům. Chyby, které chceme najít, se týkají implementace protokolu.
V současné době jsou do programu Bug Bounty zahrnuti klienti exekuční vrstvy (Besu, Erigon, Geth, Nethermind a Reth) a klienti vrstvy konsensu (Lighthouse, Lodestar, Nimbus, Teku a Prysm).
Typy chyb
- Problémy s nedodržením specifikace
- Neočekávané pády, RCE nebo zranitelnosti typu odepření služby (DOS)
- Jakékoli problémy způsobující nenapravitelné rozdělení konsensu od zbytku sítě
Užitečné odkazy
Chyby kompilátoru jazyka
Kompilátory Solidity a Vyper jsou součástí programu Bug Bounty. Uveďte prosím všechny podrobnosti nezbytné k reprodukci zranitelnosti, jako jsou: vstupní program, který chybu spouští, dotčená verze kompilátoru, cílová verze EVM, framework/IDE (pokud je relevantní), exekuční prostředí/klient EVM (pokud je relevantní) a operační systém. Uveďte prosím co nejpodrobnější kroky k reprodukci nalezené chyby.
Solidity a Vyper neposkytují bezpečnostní záruky ohledně kompilace nedůvěryhodného vstupu – a neudělujeme odměny za pády kompilátoru na škodlivě vygenerovaných datech.
Užitečné odkazy
Kvalifikace závažnosti zranitelností
Závažnost se posuzuje na základě jedinečné schopnosti každé objevené zranitelnosti způsobit následující:
- Penalizovat >0,01 % validátorů
- Triviálně způsobit rozdělení sítě ovlivňující >0,01 % sítě
- Být schopen vyřadit z provozu >0,01 % sítě odesláním jediného síťového paketu nebo onchain transakce
- Penalizovat >1 % validátorů
- Triviálně způsobit rozdělení sítě ovlivňující >5 % sítě
- Být schopen vyřadit z provozu >5 % sítě odesláním jediného síťového paketu nebo onchain transakce
- Penalizovat >33 % validátorů
- Triviálně způsobit rozdělení sítě ovlivňující >33 % sítě
- Být schopen vyřadit z provozu >33 % sítě odesláním jediné onchain transakce
- Penalizovat >50 % validátorů
- Zneužít chybu v EIP/specifikaci nebo klientovi ke snadnému vytvoření nekonečného množství ETH, které je finalizováno sítí
- Ukrást ETH ze všech EOA
- Spálit ETH ze všech EOA
- Vyřadit z provozu celou síť odesláním jediné škodlivé onchain transakce, která způsobí pád všech klientů
Nahlásit chybu
Žebříček Bug Bounty exekuční vrstvy
Najděte chyby exekuční vrstvy a dostaňte se do tohoto žebříčku
Žebříček Bug Bounty vrstvy konsensu
Najděte chyby vrstvy konsensu a dostaňte se do tohoto žebříčku
Často kladené dotazy
V současné době není stanoveno žádné datum ukončení. Nejnovější zprávy najdete na blogu Nadace Ethereum (opens in a new tab).
Odměny jsou vypláceny v ETH nebo DAI po ověření podání, obvykle o několik dní později. Místní zákony vyžadují, abychom vás požádali o doklad vaší totožnosti. Kromě toho budeme potřebovat vaši ETH adresu.
Vaši odměnu můžeme darovat zavedené charitativní organizaci podle vašeho výběru.
Snažíme se na podání odpovídat co nejrychleji. Vzhledem k nárůstu podání generovaných umělou inteligencí nám prosím dejte až týden na odpověď.
Anonymní podání nebo podání pod pseudonymem je v pořádku, ale ztratíte tím nárok na odměny v ETH/DAI. Abyste měli nárok na odměny v ETH/DAI, požadujeme, abyste zaslali své skutečné jméno a doklad totožnosti, zašifrované pomocí PGP na našem zabezpečeném webu, našemu právnímu týmu v Nadaci Ethereum, který je jediným recenzentem této dokumentace. Darování vaší odměny na charitu nevyžaduje vaši totožnost.
Dejte nám prosím vědět, pokud nechcete, aby se vaše jméno/přezdívka zobrazovala v žebříčku.
Každé nalezené zranitelnosti / problému je přiděleno skóre. Lovci odměn (bounty hunters) jsou v našem žebříčku hodnoceni podle celkového počtu bodů.
Poslední aktualizace stránky: 20. května 2026