സമർപ്പിക്കലുകൾക്കായി തുറന്നിരിക്കുന്നു
ബഗ് ബൗണ്ടി പ്രോഗ്രാം
Ethereum നെറ്റ്‌വർക്കിനെ ബാധിക്കുന്ന പ്രോട്ടോക്കോൾ, ക്ലയന്റ്, സോളിഡിറ്റി ബഗ്ഗുകൾ കണ്ടെത്തുന്നതിലൂടെ 250,000 USD വരെ സമ്പാദിക്കുകയും ലീഡർബോർഡിൽ സ്ഥാനം നേടുകയും ചെയ്യുക.
പാരിതോഷികത്തിൽ ഫീച്ചർ ചെയ്ത ക്ലയന്റുകൾ
പരിധിയിൽ
ഞങ്ങളുടെ ബഗ് ബൗണ്ടി പ്രോഗ്രാം ആദ്യാവസാനം വരെ നീളുന്നതാണ്: പ്രോട്ടോക്കോളുകളുടെ നല്ല അവസ്ഥയും (ബ്ലോക്ക്‌ചെയിൻ പൊതു മാതൃക, വയർ, p2p പ്രോട്ടോക്കോളുകൾ, പ്രൂഫ് ഓഫ് സ്റ്റേക്ക് മുതലായവ പോലുള്ളത്) പ്രോട്ടോക്കോൾ/നിർവഹണ അനുയോജ്യതയും മുതൽ നെറ്റ്‌വർക്ക് സുരക്ഷയും പൊതു സമഗ്രതയും വരെ. ക്ലാസിക്കൽ ക്ലയന്റ് സുരക്ഷയും അതുപോലെ തന്നെ ക്രിപ്‌റ്റോഗ്രാഫിക്ക് പ്രിമിറ്റീവുകളുടെ സുരക്ഷയും പ്രോഗ്രാമിന്റെ ഭാഗമാണ്. സംശയമുള്ളപ്പോൾ, bounty@ethereum.org എന്ന വിലാസത്തിലേക്ക് ഒരു ഇമെയിൽ അയച്ച് ഞങ്ങളോട് ചോദിക്കുക.
സ്പെസിഫിക്കേഷൻ ബഗ്ഗുകൾ
Ethereum ഇനവിവരണങ്ങൾ പ്രയോഗ വരിക്കും പൊതു വരിക്കുമുള്ള ഡിസൈൻ യുക്തി വിശദമാക്കുന്നു.
പ്രയോഗ വരി സ്പെസിഫിക്കേഷനുകൾ
ഇനിപ്പറയുന്ന വ്യാഖ്യാനങ്ങൾ പരിശോധിക്കുന്നത് സഹായകരമാകും:
ബഗ് തരങ്ങൾ
- സുരക്ഷ/ഫൈനലിറ്റി- തകർക്കുന്ന ബഗുകൾ
- സേവന നിരസിക്കൽ (DOS) വെക്റ്ററുകൾ
- സത്യസന്ധരായ വാലിഡേറ്റര്‍മാരെ വെട്ടിക്കുറയ്‌ക്കാവുന്ന സാഹചര്യങ്ങൾ പോലുള്ള അനുമാനങ്ങളിലെ പൊരുത്തക്കേടുകൾ
- കണക്കുകൂട്ടൽ അല്ലെങ്കിൽ പാരാമീറ്റർ പൊരുത്തക്കേടുകൾ
സ്പെസിഫിക്കേഷൻ പ്രമാണങ്ങൾ
കക്ഷി ബഗ്ഗുകൾ
കക്ഷികൾ Ethereum നെറ്റ്‌വർക്ക് വിന്യസിച്ചുകഴിഞ്ഞാൽ, അവർ സ്‌പെസിഫിക്കേഷനിൽ പറഞ്ഞിരിക്കുന്ന യുക്തി പിന്തുടരുകയും സാധ്യതയുള്ള ആക്രമണങ്ങളിൽ നിന്ന് സുരക്ഷിതരായിരിക്കുകയും വേണം. ഞങ്ങൾ കണ്ടെത്താൻ ആഗ്രഹിക്കുന്ന ബഗ്ഗുകൾ പ്രോട്ടോക്കോൾ നടപ്പിലാക്കുന്നതുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു.
നിലവിൽ പ്രയോഗ വരി കഷികളും (Besu, Erigon, Geth, Nethermind) പൊതു വരി കഷികളും (Lighthouse, Lodestar, Nimbus, Teku, Prysm) ബഗ് ബൗണ്ടി പ്രോഗ്രാമിൽ ഉൾപ്പെട്ടിരിക്കുന്നു. ഓഡിറ്റുകൾ പൂർത്തിയാക്കി പ്രൊഡക്ഷന് തയ്യാറാകുമ്പോൾ കൂടുതൽ കഷികളെ ചേർത്തേക്കാം.
ബഗ് തരങ്ങൾ
- സ്പെക് പാലിക്കാത്തതിലുള്ള പ്രശ്നങ്ങൾ
- അപ്രതീക്ഷിത ക്രാഷുകൾ, RCE അല്ലെങ്കിൽ സേവന നിരസിക്കൽ (DOS) കേടുപാടുകൾ
- നെറ്റ്‌വർക്കിന്റെ ബാക്കി ഭാഗങ്ങളിൽ നിന്ന് പരിഹരിക്കാനാകാത്ത സമവായ വിഭജനത്തിന് കാരണമാകുന്ന ഏതൊരു പ്രശ്‌നവും
സോളിഡിറ്റി ബഗ്ഗുകൾ
ഈ പരിധിയിൽ എന്താണ് ഉൾപ്പെട്ടിരിക്കുന്നത് എന്നത് സംബന്ധിച്ച കൂടുതൽ വിശദാംശങ്ങൾക്ക് Solidity SECURITY.MD കാണുക.
വിശ്വസനീയമല്ലാത്ത ഇൻപുട്ടിന്റെ സമാഹരണം സംബന്ധിച്ച സുരക്ഷാ ഗ്യാരന്റികൾ സോളിഡിറ്റി കൈവശം വയ്ക്കുന്നില്ല – കൂടാതെ ക്ഷുദ്രകരമായി സൃഷ്ടിച്ച ഡാറ്റയിൽ solc കംപൈലറിന്റെ ക്രാഷുകൾക്ക് ഞങ്ങൾ റിവാർഡുകൾ നൽകുന്നുമില്ല.
നിക്ഷേപ കരാർ ബഗ്ഗുകൾ
ബീക്കൺ ചെയിൻ ഡെപ്പോസിറ്റ് കരാറിന്റെ ഇനവിവരണങ്ങളും സോഴ്‌സ് കോഡും ബഗ് ബൗണ്ടി പ്രോഗ്രാമിന്റെ ഭാഗമാണ്.
Dependency bugs
Certain dependencies are crucial for the Ethereum Network to function, and some of these have been added to the bug bounty program. Currently, the list of dependencies included in the bug bounty program are C-KZG-4844 and Go-KZG-4844.
Vulnerability severity qualifications
Severity is assessed based on a discovered vulnerability's ability to do the following:
Low severity
- Slash >0.01% of validators
- Trivially cause network splits affecting >0.01% of the network
- Be able to bring down >0.01% of the network by sending a single network packet or an onchain transaction
Medium severity
- Slash >1% of validators
- Trivially cause network splits affecting >5% of the network
- Be able to bring down >5% of the network by sending a single network packet or an onchain transaction
High severity
- Slash >33% of validators
- Trivially cause network splits affecting >33% of the network
- Be able to bring down >33% of the network by sending a single network packet or an onchain transaction
Critical severity
- Slash >50% of validators
- Exploit an EIP/specification or client bug to easily create an infinite amount of ETH which is finalized by the network
- Steal ETH from all EOAs
- Burn ETH from all EOAs
- Take down the entire network by sending a single malicious onchain transaction that ends up crashing all clients
പരിധിക്ക് പുറത്തുള്ളത്
പരിധിക്ക് കീഴിൽ പട്ടികപ്പെടുത്തിയിട്ടുള്ള ടാർഗെറ്റുകൾ മാത്രമാണ് ബഗ് ബൗണ്ടി പ്രോഗ്രാമിന്റെ ഭാഗമായിട്ടുള്ളത്. ഉദാഹരണത്തിന് അടിസ്ഥാന സൗകര്യങ്ങൾ; അതായത് വെബ്‌പേജുകൾ, dns, ഇമെയിൽ മുതലായവ ബൗണ്ടി-പരിധിയുടെ ഭാഗമല്ല എന്നാണ് ഇതിന്റെ അർത്ഥം. ERC20 കരാർ ബഗ്ഗുകൾ സാധാരണയായി ബൗണ്ടി പരിധിയിൽ ഉൾപ്പെടുത്തിയിട്ടില്ല. എന്നിരുന്നാലും, അത്തരം സന്ദർഭങ്ങളിൽ ലേഖകന്മാരോ എക്സ്ചേഞ്ചുകളോ പോലുള്ള ബാധിക്കപ്പെടാവുന്ന കക്ഷികളിലേക്ക് എത്തിച്ചേരാൻ ഞങ്ങൾക്ക് സഹായിക്കാൻ കഴിയും. ENS ഫൗണ്ടേഷനാണ് ENS പരിപാലിക്കുന്നത്, അത് ബൗണ്ടി പരിധിയുടെ ഭാഗമല്ല.
- Infrastructure bugs—such as webpages, dns, email, etc.*
- ERC-20 contract bugs*
- Ethereum Naming Service (ENS) bugs (maintained by the ENS foundation)
- Vulnerabilities requiring the user to have publicly exposed an API, such as JSON-RPC or the Beacon API
- Typographical errors
- Tests
- High-effort (sustained, CPU or bandwidth intensive, and/or requires more than 1 packet or onchain transaction) single-peer DoS attacks
- Any publicly known issues (includes forum posts, PRs, github issues, commits, blog posts, public discord messages, etc.)
*These are typically not included, however, we can help reach out to affected parties, such as authors or exchanges in such cases
ഒരു ബഗ് സമർപ്പിക്കുക
നിങ്ങൾ കണ്ടെത്തുന്ന സാധുവായ ഓരോ ബഗ്ഗിനും നിങ്ങൾക്ക് റിവാർഡുകൾ ലഭിക്കും. അനുവദിക്കുന്ന റിവാർഡുകളുടെ അളവ് തീവ്രത അനുസരിച്ച് വ്യത്യാസപ്പെട്ടിരിക്കും. തീവ്രത കണക്കാക്കുന്നത് Ethereum നെറ്റ്‌വർക്കിലെ സ്വാധീനത്തെയും സാധ്യതയെയും അടിസ്ഥാനമാക്കി OWASP റിസ്ക്ക് റേറ്റിംഗ് മാതൃക അനുസരിച്ചാണ്. OWASP രീതി കാണുക
ഇനിപ്പറയുന്നവയെ അടിസ്ഥാനമാക്കി EF പോയിന്റുകള്‍ നല്‍കുന്നു:
വിവരണത്തിന്റെ ഗുണനിലവാരം: വ്യക്തവും നന്നായി എഴുതിയതുമായ സമർപ്പിക്കലുകൾക്ക് ഉയർന്ന പ്രതിഫലം നൽകും.
പുനരുൽപാദനക്ഷമതയുടെ ഗുണനിലവാരം: റിവാർഡുകൾക്കുള്ള യോഗ്യതയ്ക്ക് ഒരു പ്രൂഫ് ഓഫ് കൺസെപ്റ്റ് (POC) ഉൾപ്പെടുത്തിയിരിക്കണം. ദയവായി ടെസ്റ്റ് കോഡും സ്ക്രിപ്റ്റുകളും വിശദമായ നിർദ്ദേശങ്ങളും ഉൾപ്പെടുത്തുക. പുനരാവിഷ്ക്കരിക്കാനും ആക്രമിക്കപ്പെടാനുള്ള സാധ്യത പരിശോധിച്ചുറപ്പിക്കാനും ഉയർന്ന റിവാർഡ് ലഭ്യമാക്കാനും ഇത് എളുപ്പമാക്കുന്നു.
പരിഹാര നിലവാരം, ഉൾപ്പെടുത്തിയിട്ടുണ്ടെങ്കിൽ: പ്രശ്നം എങ്ങനെ പരിഹരിക്കാമെന്നതിന്റെ വ്യക്തമായ വിവരണത്തോടെയുള്ള സമർപ്പിക്കലുകൾക്ക് ഉയർന്ന റിവാർഡുകൾ നൽകും.
താഴ്ന്നത്
2,000 USD വരെ
1,000 പോയിന്റുകൾ വരെ
തീവ്രത
- കുറഞ്ഞ ആഘാതം, ഇടത്തരം സാധ്യത
- ഇടത്തരം ആഘാതം, കുറഞ്ഞ സാധ്യത
ഉദാഹരണം
ഒരു വാലിഡേറ്റർ നടത്തിയ ഓരോ നൂറ് അറ്റസ്റ്റേഷനുകളിൽ ഒരെണ്ണം ഉപേക്ഷിക്കാൻ കാരണമാകുന്ന ഒരു അവസ്ഥയിൽ ചിലപ്പോള്‍ ഒരു നോഡ് ഇടാൻ ആക്രമണകാരിക്ക് കഴിയും
ഇടത്തരം
10,000 USD വരെ
5,000 പോയിന്റുകൾ വരെ
തീവ്രത
- ഉയർന്ന ആഘാതം, കുറഞ്ഞ സാധ്യത
- ഇടത്തരം ആഘാതം, ഇടത്തരം സാധ്യത
- കുറഞ്ഞ ആഘാതം, ഉയർന്ന സാധ്യത
ഉദാഹരണം
4 മുൻനിര സീറോ ബൈറ്റുകളുള്ള പിയർ-ഐഡികളോടുകൂടിയ നോഡുകളിൽ ആക്രമണകാരിക്ക് വിജയകരമായി എക്ലിപ്സ് ആക്രമണം നടത്താൻ കഴിയും
ഉയർന്ന
50,000 USD വരെ
10,000 പോയിന്റുകൾ വരെ
തീവ്രത
- ഉയർന്ന ആഘാതം, ഇടത്തരം സാധ്യത
- ഇടത്തരം ആഘാതം, ഉയർന്ന സാധ്യത
ഉദാഹരണം
അറ്റാക്കർക്ക് നെറ്റ്‌വർക്കിന്റെ വലിയ ഭാഗങ്ങൾ വിജയകരമായി വിഭജിക്കാൻ കഴിയും, മാത്രമല്ല ഒരു അറ്റാക്കർക്ക് നുഴഞ്ഞുകയറാനുള്ള സാധ്യത തിരിച്ചറിയുന്നത് നിസാരമാണ്
ഗുരുതരം
250,000 USD വരെ
25,000 പോയിന്റുകൾ വരെ
തീവ്രത
- ഉയർന്ന ആഘാതം, ഉയർന്ന സാധ്യത
ഉദാഹരണം
ഒരു ഭൂരിഭാഗം ക്ലയന്റിലും അറ്റാക്കർക്ക് റിമോട്ട് കോഡ് നിർവഹണം വിജയകരമായി നടത്താനാകും, മാത്രമല്ല ഒരു അറ്റാക്കർക്ക് നുഴഞ്ഞുകയറാനുള്ള സാധ്യത തിരിച്ചറിയുന്നത് നിസാരമാണ്
ബഗ് ഹണ്ടിംഗ് നിയമങ്ങൾ
പ്ലാറ്റ്‌ഫോം മെച്ചപ്പെടുത്താൻ സഹായിക്കുന്നവരെ പ്രോത്സാഹിപ്പിക്കുന്നതിനും പ്രതിഫലം നൽകുന്നതിനുമായി ഞങ്ങളുടെ സജീവമായ Ethereum കമ്മ്യൂണിറ്റിയുടെ പരീക്ഷണാത്മകവും വിവേചനാധികാരവുമായ റിവാർഡ് പ്രോഗ്രാം ആണ് ബഗ് ബൗണ്ടി പ്രോഗ്രാം. ഇത് ഒരു മത്സരമല്ല. ഞങ്ങൾക്ക് എപ്പോൾ വേണമെങ്കിലും പ്രോഗ്രാം റദ്ദാക്കാൻ കഴിയുമെന്ന് നിങ്ങൾ അറിഞ്ഞിരിക്കണം, കൂടാതെ അവാർഡുകൾ Ethereum ഫൗണ്ടേഷൻ ബഗ് ബൗണ്ടി പാനലിന്റെ ഏക വിവേചനാധികാരത്തിലാണ്. കൂടാതെ, ഉപരോധ പട്ടികയിലുള്ള ആളുകൾ അല്ലെങ്കിൽ ഉപരോധ പട്ടികയിലുള്ള രാജ്യങ്ങളിൽ (ഉദാ. ഉത്തര കൊറിയ, ഇറാൻ മുതലായവ) വ്യക്തികൾക്ക് അവാർഡുകൾ നൽകാൻ ഞങ്ങൾക്ക് കഴിയില്ല. നിങ്ങളുടെ ഐഡന്റിറ്റി പ്രൂഫ് ഞങ്ങൾ ചോദിക്കേണ്ടത് പ്രാദേശിക നിയമങ്ങൾ ആവശ്യപ്പെടുന്നു. എല്ലാ നികുതികൾക്കും നിങ്ങൾ ഉത്തരവാദിയാണ്. എല്ലാ അവാർഡുകളും ബാധകമായ നിയമത്തിന് വിധേയമാണ്. അവസാനമായി, നിങ്ങളുടെ പരിശോധന ഏതെങ്കിലും നിയമത്തെ ലംഘിക്കരുത് അല്ലെങ്കിൽ നിങ്ങളുടേതല്ലാത്ത ഏതെങ്കിലും ഡാറ്റയിൽ വിട്ടുവീഴ്ച ചെയ്യരുത്, കൂടാതെ ലോക്കൽ റണ്ണിംഗ് ടെസ്റ്റ്‌നെറ്റുകളിൽ നടക്കണം.
- POC ഇല്ലാത്ത പ്രശ്നങ്ങൾ അല്ലെങ്കിൽ ഇതിനകം മറ്റൊരു ഉപയോക്താവ് സമർപ്പിച്ച അല്ലെങ്കിൽ ഇതിനകം സ്പെക്ക്, ക്ലയന്റ് പരിപാലകർക്ക് അറിയാവുന്ന പ്രശ്നങ്ങൾ മികച്ച പ്രതിഫലത്തിന് അർഹമല്ല.
- ഒരു അപകടസാധ്യത പരസ്യമായി വെളിപ്പെടുത്തുന്നത് ബഗ് ബൗണ്ടിക്ക് അയോഗ്യനാക്കുന്നു.
- Ethereum ഫൗണ്ടേഷനിലെ ജീവനക്കാർക്കും കരാറുകാർക്കും അല്ലെങ്കിൽ ബൗണ്ടി പ്രോഗ്രാമിന്റെ പരിധിയിലുള്ള ക്ലയന്റ് ടീമുകൾക്കും പോയിന്റുകളുടെ സമാഹരണത്തിൽ മാത്രമായി പ്രോഗ്രാമിൽ പങ്കെടുക്കാം, ധനപരമായ റിവാർഡുകൾ ലഭിക്കില്ല.
- Ethereum ബൗണ്ടി പ്രോഗ്രാം റിവാർഡുകൾ നിർണ്ണയിക്കുന്നതിൽ നിരവധി വേരിയബിളുകൾ പരിഗണിക്കുന്നു. യോഗ്യത, സ്കോർ, ഒരു അവാർഡുമായി ബന്ധപ്പെട്ട എല്ലാ നിബന്ധനകൾ എന്നിവ നിർണ്ണയിക്കുന്നത് Ethereum ഫൗണ്ടേഷന്‍ ബഗ് ബൗണ്ടി പാനലിന്റെ ഏകവും അന്തിമവുമായ വിവേചനാധികാരത്തിലാണ്.
പ്രയോഗ വരി ബഗ് ബൗണ്ടി ലീഡർബോർഡ്
ഈ ലീഡർബോർഡിൽ ചേർക്കുന്നതിന് പ്രയോഗ വരി ബഗുകൾ കണ്ടെത്തുക
പൊതു വരി ബഗ് ബൗണ്ടി ലീഡർബോർഡ്
ഈ ലീഡർബോർഡിൽ ചേർക്കുന്നതിന് പൊതു വരി ബഗുകൾ കണ്ടെത്തുക
ചോദ്യങ്ങൾ?
ഞങ്ങൾക്ക് ഇമെയിൽ ചെയ്യുക: bounty@ethereum.org