Otwarte na zgłoszenia
Program Bug Bounty
Zdobądź do 1 000 000 USD i miejsce w tabeli wyników, znajdując błędy w protokole, klientach i kompilatorach języków wpływające na sieć Ethereum.
Klienci uwzględnieni w programie nagród
W zakresie
Nasz program Bug Bounty obejmuje wszystko od początku do końca: od solidności protokołów (takich jak model konsensusu blockchain, protokoły sieciowe i peer-to-peer, dowód stawki (PoS) itp.) i zgodności protokołu/implementacji po bezpieczeństwo sieci i integralność konsensusu. Klasyczne bezpieczeństwo klientów, a także bezpieczeństwo prymitywów kryptograficznych są również częścią programu. Wszystkie ujawnienia błędów i zgłoszenia podatności muszą być dokonywane za pośrednictwem naszego formularza zgłaszania błędów (opens in a new tab).
Błędy w klientach
Klienci obsługują sieć Ethereum i muszą postępować zgodnie z logiką określoną w specyfikacji oraz być bezpieczni przed potencjalnymi atakami. Błędy, które chcemy znaleźć, są związane z implementacją protokołu.
Obecnie klienci warstwy wykonawczej (Besu, Erigon, Geth, Nethermind i Reth) oraz klienci warstwy konsensusu (Lighthouse, Lodestar, Nimbus, Teku i Prysm) są objęci programem Bug Bounty.
Rodzaje błędów
- Problemy z niezgodnością ze specyfikacją
- Nieoczekiwane awarie, podatności RCE lub odmowa usługi (DOS)
- Wszelkie problemy powodujące nieodwracalne rozłamy konsensusu od reszty sieci
Przydatne linki
Błędy w kompilatorach języków
Kompilatory Solidity i Vyper są objęte programem Bug Bounty. Prosimy o podanie wszystkich szczegółów niezbędnych do odtworzenia podatności, takich jak: program wejściowy wyzwalający błąd, wersja kompilatora, której dotyczy problem, docelowa wersja EVM, framework/IDE (jeśli dotyczy), środowisko wykonawcze EVM/klient (jeśli dotyczy) oraz system operacyjny. Prosimy o jak najbardziej szczegółowe opisanie kroków niezbędnych do odtworzenia znalezionego błędu.
Solidity i Vyper nie dają gwarancji bezpieczeństwa w zakresie kompilacji niezaufanych danych wejściowych – nie przyznajemy nagród za awarie kompilatora spowodowane złośliwie wygenerowanymi danymi.
Przydatne linki
Kwalifikacje wagi luki w zabezpieczeniach
Waga jest oceniana na podstawie unikalnej zdolności każdej odkrytej luki do wykonania następujących czynności:
- Poddać cięciu >0.01% walidatorów
- W trywialny sposób spowodować podziały sieci wpływające na >0.01% sieci
- Wyłączyć >0.01% sieci poprzez wysłanie pojedynczego pakietu sieciowego lub transakcji onchain
- Poddać cięciu >1% walidatorów
- W trywialny sposób spowodować podziały sieci wpływające na >5% sieci
- Wyłączyć >5% sieci poprzez wysłanie pojedynczego pakietu sieciowego lub transakcji onchain
- Poddać cięciu >33% walidatorów
- W trywialny sposób spowodować podziały sieci wpływające na >33% sieci
- Wyłączyć >33% sieci poprzez wysłanie pojedynczej transakcji onchain
- Poddać cięciu >50% walidatorów
- Wykorzystać błąd w EIP/specyfikacji lub kliencie, aby łatwo stworzyć nieskończoną ilość ETH, co zostaje sfinalizowane przez sieć
- Ukraść ETH ze wszystkich kont EOA
- Spalić ETH ze wszystkich kont EOA
- Wyłączyć całą sieć poprzez wysłanie pojedynczej złośliwej transakcji onchain, która doprowadzi do awarii wszystkich klientów
Zgłoś błąd
Tabela wyników Bug Bounty warstwy wykonawczej
Znajdź błędy w warstwie wykonawczej, aby znaleźć się w tej tabeli wyników
Tabela wyników Bug Bounty warstwy konsensusu
Znajdź błędy w warstwie konsensusu, aby znaleźć się w tej tabeli wyników
Często zadawane pytania
Obecnie nie ustalono daty końcowej. Najnowsze informacje znajdziesz na blogu Fundacji Ethereum (opens in a new tab).
Nagrody są wypłacane w ETH lub DAI po zweryfikowaniu zgłoszenia, zazwyczaj kilka dni później. Lokalne przepisy wymagają od nas poproszenia o dowód tożsamości. Ponadto będziemy potrzebować Twojego adresu ETH.
Możemy przekazać Twoją nagrodę wybranej przez Ciebie uznanej organizacji charytatywnej.
Staramy się odpowiadać na zgłoszenia tak szybko, jak to możliwe. Ze względu na wzrost liczby zgłoszeń generowanych przez sztuczną inteligencję, prosimy o cierpliwość – odpowiedź może zająć do tygodnia.
Zgłoszenie anonimowe lub pod pseudonimem jest w porządku, ale sprawi, że nie będziesz kwalifikować się do nagród w ETH/DAI. Aby kwalifikować się do nagród w ETH/DAI, wymagamy przesłania Twojego prawdziwego imienia i nazwiska oraz dowodu tożsamości, zaszyfrowanych za pomocą PGP na naszej bezpiecznej stronie, do naszego zespołu prawnego w Fundacji Ethereum, który jako jedyny przegląda dokumentację. Przekazanie nagrody na cele charytatywne nie wymaga podawania tożsamości.
Daj nam znać, jeśli nie chcesz, aby Twoje imię i nazwisko/pseudonim były wyświetlane w tabeli liderów.
Każdej znalezionej luce / problemowi przypisywana jest punktacja. Łowcy nagród są klasyfikowani w naszej tabeli liderów na podstawie łącznej liczby punktów.
Ostatnia aktualizacja strony: 20 maja 2026