Offen für Einreichungen
Bug-Bounty-Programm
Verdienen Sie bis zu 1.000.000 USD und einen Platz auf der Bestenliste, indem Sie Protokoll-, Client- und Sprach-Compiler-Bugs finden, die das Ethereum-Netzwerk betreffen.
Im Bug-Bounty-Programm enthaltene Clients
Im Geltungsbereich
Unser Bug-Bounty-Programm erstreckt sich von Anfang bis Ende: von der Solidität der Protokolle (wie dem Blockchain-Konsensmodell, den Wire- und Peer-to-Peer-Protokollen, Proof-of-Stake usw.) und der Protokoll-/Implementierungskonformität bis hin zur Netzwerksicherheit und Konsensintegrität. Klassische Client-Sicherheit sowie die Sicherheit kryptografischer Primitive sind ebenfalls Teil des Programms. Alle Bug-Offenlegungen und Schwachstellenmeldungen müssen über unser Bug-Meldeformular (opens in a new tab) erfolgen.
Client-Bugs
Clients betreiben das Ethereum-Netzwerk und müssen der in der Spezifikation festgelegten Logik folgen sowie sicher gegen potenzielle Angriffe sein. Die Bugs, die wir finden möchten, beziehen sich auf die Implementierung des Protokolls.
Derzeit sind Clients der Ausführungsschicht (Besu, Erigon, Geth, Nethermind und Reth) und Clients der Konsensschicht (Lighthouse, Lodestar, Nimbus, Teku und Prysm) im Bug-Bounty-Programm enthalten.
Arten von Bugs
- Probleme bei der Einhaltung der Spezifikation
- Unerwartete Abstürze, RCE- oder Denial-of-Service-Schwachstellen (DOS)
- Jegliche Probleme, die irreparable Konsens-Splits vom Rest des Netzwerks verursachen
Hilfreiche Links
Sprach-Compiler-Bugs
Die Compiler für Solidity und Vyper fallen in den Geltungsbereich des Bug-Bounty-Programms. Bitte fügen Sie alle Details bei, die zur Reproduktion der Schwachstelle erforderlich sind, wie z. B.: Eingabeprogramm, das den Bug auslöst, betroffene Compiler-Version, Ziel-EVM-Version, Framework/IDE (falls zutreffend), EVM-Ausführungsumgebung/Client (falls zutreffend) und Betriebssystem. Bitte geben Sie die Schritte zur Reproduktion des gefundenen Bugs so detailliert wie möglich an.
Solidity und Vyper bieten keine Sicherheitsgarantien bezüglich der Kompilierung nicht vertrauenswürdiger Eingaben – und wir vergeben keine Belohnungen für Abstürze des Compilers bei böswillig generierten Daten.
Hilfreiche Links
Einstufung des Schweregrads von Schwachstellen
Der Schweregrad wird basierend auf der spezifischen Fähigkeit jeder entdeckten Schwachstelle bewertet, Folgendes zu tun:
- Slashing von >0,01 % der Validatoren
- Triviales Verursachen von Netzwerk-Splits, die >0,01 % des Netzwerks betreffen
- In der Lage sein, >0,01 % des Netzwerks durch das Senden eines einzigen Netzwerkpakets oder einer Onchain-Transaktion lahmzulegen
- Slashing von >1 % der Validatoren
- Triviales Verursachen von Netzwerk-Splits, die >5 % des Netzwerks betreffen
- In der Lage sein, >5 % des Netzwerks durch das Senden eines einzigen Netzwerkpakets oder einer Onchain-Transaktion lahmzulegen
- Slashing von >33 % der Validatoren
- Triviales Verursachen von Netzwerk-Splits, die >33 % des Netzwerks betreffen
- In der Lage sein, >33 % des Netzwerks durch das Senden einer einzigen Onchain-Transaktion lahmzulegen
- Slashing von >50 % der Validatoren
- Ausnutzen eines EIPs/Spezifikations- oder Client-Bugs, um auf einfache Weise eine unendliche Menge an ETH zu erstellen, die durch das Netzwerk endgültig gemacht wird
- ETH stehlen von allen EOAs
- ETH verbrennen von allen EOAs
- Das gesamte Netzwerk lahmlegen durch das Senden einer einzigen bösartigen Onchain-Transaktion, die zum Absturz aller Clients führt
Einen Bug melden
Kritisch
Bis zu 1.000.000 USD
Bis zu 25.000 Punkte
Bug mit kritischem Risiko melden (opens in a new tab)Bestenliste des Ausführungsschicht-Bug-Bounty-Programms
Finden Sie Bugs in der Ausführungsschicht, um in diese Bestenliste aufgenommen zu werden
Bestenliste des Konsensschicht-Bug-Bounty-Programms
Finden Sie Bugs in der Konsensschicht, um in diese Bestenliste aufgenommen zu werden
Häufig gestellte Fragen
Derzeit ist kein Enddatum festgelegt. Siehe den Blog der Ethereum Foundation (opens in a new tab) für die neuesten Nachrichten.
Belohnungen werden in ETH oder DAI ausgezahlt, nachdem die Einreichung validiert wurde, normalerweise ein paar Tage später. Lokale Gesetze verlangen von uns, einen Identitätsnachweis anzufordern. Zusätzlich benötigen wir deine ETH-Adresse.
Wir können deine Belohnung an eine anerkannte wohltätige Organisation deiner Wahl spenden.
Wir bemühen uns, so schnell wie möglich auf Einreichungen zu antworten. Aufgrund der Zunahme von KI-Einreichungen kann es jedoch bis zu einer Woche dauern, bis wir auf deine Einreichung antworten.
Eine anonyme Einreichung oder die Verwendung eines Pseudonyms ist in Ordnung, schließt dich jedoch von ETH/DAI-Belohnungen aus. Um für ETH/DAI-Belohnungen in Frage zu kommen, benötigen wir deinen echten Namen und einen Identitätsnachweis. Diese müssen mit PGP verschlüsselt über unsere sichere Drop-Website an das Rechtsteam der Ethereum Foundation gesendet werden, welches als einziges die Dokumentation überprüft. Wenn du deine Prämie an eine wohltätige Organisation spendest, ist kein Identitätsnachweis erforderlich.
Bitte lass uns wissen, falls du nicht möchtest, dass dein Name/Spitzname auf der Bestenliste angezeigt wird.
Jeder gefundenen Schwachstelle / jedem Problem wird eine Punktzahl zugewiesen. Bug-Bounty-Jäger werden auf unserer Bestenliste nach Gesamtpunktzahl eingestuft.
Letzte Aktualisierung der Seite: 20. Mai 2026