Immunefi hat ein Credits-System eingeführt, das Einreichungsgebühren für gültige Fehlerberichte an mehr als 700 Forscher zurückerstattet, darunter auch Jäger, deren Funde als Duplikate oder private bekannte Probleme geschlossen wurden.
Zusammenfassung
- Gültige Berichte qualifizieren sich für Credits in Höhe der Einreichungsgebühren, ohne die Bug-Bounty-Belohnungen der Forscher zu ersetzen.
- Jeder Credit ist 1 US-Dollar wert, verfällt nach 12 Monaten und kann nicht abgehoben oder übertragen werden.
- Einzigartige gültige Funde verdoppelten sich zwischen Januar und September, so die Ankündigung von Immunefi.
- Der Audit-Wettbewerb von Plether wurde mit einem Belohnungspool von 80.000 USDC für Sicherheitsforscher eröffnet.
Laut der Ankündigung von Immunefi vom 2. November umfasst das Programm berechtigte Berichte, die seit der Einführung der Gebühren Anfang dieses Jahres eingereicht wurden, wobei die Guthaben automatisch gutgeschrieben werden. Forscher müssen keinen Anspruch geltend machen oder einen separaten Antrag stellen.
Die Richtlinie adressiert eine Beschwerde von Jägern, die dafür bezahlt hatten, eine echte Schwachstelle zu melden, nur um zu erfahren, dass jemand anderes sie bereits gefunden hatte oder dass das Protokoll privat davon wusste.
„Du hast einen gültigen Bug gefunden, und jemand anderes hat ihn zuerst gemeldet“, schrieb Immunefi. „Ab heute erhältst du Credits in Höhe dieser Gebühr, bereit für deine nächste Einreichung.“
Immunefi-Credits decken gültige Funde und private bekannte Probleme ab
Die Berechtigung reicht bis zum 24. März für Bug Bounties und bis zum 10. April für Audit-Wettbewerbe zurück. Der ursprüngliche Fund eines Forschers qualifiziert sich, sobald er über ein Bug-Bounty-Programm bezahlt oder in einem Audit-Wettbewerb bestätigt wurde, einschließlich akzeptierter Erkenntnisse.
Duplikate qualifizieren sich, wenn der ursprüngliche Bericht gültig ist, unabhängig davon, wie viele Forscher dieselbe Schwachstelle unabhängig voneinander gefunden haben. Eine erfolgreiche Mediation bringt Credits sowohl für die Einreichungsgebühr als auch für die Mediationsgebühr.
Private bekannte Probleme werden ähnlich behandelt. Immunefi erklärte, dass Protokolle manchmal Schwachstellen registrieren, die sie vor der Fertigstellung eines Fixes nicht offenlegen können, sodass Forscher nicht wissen können, dass ihre Entdeckung bereits dokumentiert ist.
Eine Schließung als bekanntes Problem muss entweder ein Registrierungsdatum oder eine öffentliche Quelle vorweisen. Wenn keines von beiden erscheint, gilt das Problem für Credit-Zwecke als privat. Berichte qualifizieren sich, wenn das Protokoll das Problem registriert hat, nachdem der Forscher es eingereicht hatte.
Öffentlich offengelegte Schwachstellen bleiben ausgeschlossen, ebenso wie ungültige Berichte, Einreichungen außerhalb des Geltungsbereichs, Richtlinienverstöße und Duplikate abgelehnter Berichte. Forscher können keinen zweiten Credit erhalten, indem sie ihren eigenen Fund erneut einreichen.
KI-unterstützte Einreichungen sind schneller gewachsen als gültige Funde
Immunefi erklärte, dass sich einzigartige gültige Funde von Januar bis September verdoppelten, während die Gesamtzahl der Einreichungen schneller wuchs. Das Unternehmen führte die schnellere Fehlerentdeckung und Berichterstellung auf KI-Tools zurück und beschrieb das Volumen als so groß, dass neue Systeme erforderlich seien, um gültige Arbeit fair zu behandeln.
In seinem September-Update erklärte die Stiftung, dass eine Schwachstelle mit hohem Schweregrad während eines kürzlichen Wettbewerbs 24 doppelte Berichte angezogen habe. Jede Einreichung erfordere Triage und Klassifizierung, Arbeit, die durch die Einreichungsgebühren abgedeckt werde, so das Update.
Forscher begrüßten die Ankündigung in öffentlichen Antworten. Skydev beschrieb sie als Lösung der gebührenbezogenen Hälfte des Problems mit Duplikaten und privaten bekannten Problemen, nach früheren Änderungen an den Genauigkeitsberechnungen. Vuk.Digital lobte die rückwirkenden Credits und erklärte, die Änderung habe negative Guthaben für Forscher beseitigt, die an Audit-Wettbewerben teilnehmen.
Keizo sagte, die Community habe das Problem angesprochen und Immunefi habe zugehört. Die Reaktionen konzentrierten sich auf die Kosten für die Einreichung legitimer Arbeit, wenn Forscher frühere private Berichte nicht einsehen können.
Guthaben verfallen nach 12 Monaten und bleiben innerhalb der Plattform
Ein Guthaben entspricht 1 US-Dollar, und Forscher können Guthaben mit USDC kaufen. Immunefi sagte, Guthaben bezahlen jetzt Einreichungen, Mediation und Kontoverifizierung, mit Unterstützung für Immunefi Studio, sobald es öffentlich öffnet.
Bug-Bounty- und Wettbewerbsbelohnungen bleiben getrennt. Ein qualifizierter Forscher erhält die normale Belohnung plus Guthaben in Höhe der entsprechenden Gebühr.
Gekaufte und verdiente Guthaben verfallen 12 Monate nachdem sie in ein Konto gelangen. Rückwirkende Salden erhalten ein volles Jahr ab dem Start, und die Plattform verbraucht die ältesten Guthaben zuerst.
Kontoverifizierungsgebühren können qualifizieren, sobald ein Forscher nach der Verifizierung einen gültigen Bericht einreicht und mindestens 25 % Genauigkeit bei entweder Bug Bounties oder Audit-Wettbewerben erreicht. Die Human-Passport-Verifizierung bleibt kostenlos.
Guthabenprüfungen laufen derzeit alle zwei Wochen. Immunefi plant, sie zu automatisieren, aber berechtigte Salden können bis zu zwei Wochen brauchen, um zu erscheinen, solange der aktuelle Prozess bestehen bleibt.
Plether eröffnet einen Audit-Wettbewerb mit 80.000 US-Dollar
Immunefis Plether-Wettbewerb wurde am 2. November mit 80.000 US-Dollar an USDC-Belohnungen eröffnet. Das Arbitrum-Projekt bietet unbefristete Positionen auf einen Dollar-Index, der aus sechs Hauptwährungen besteht.
Die Programmseite beschreibt das System als auf Arbitrum Sepolia getestet, ohne Mainnet-Bereitstellung. Die Belohnungen sind in einen Hauptpool von 56.000 US-Dollar, einen All-Stars-Pool von 16.000 US-Dollar und einen Podiumspool von 8.000 US-Dollar aufgeteilt.
Die Teilnahmebedingungen schließen Personen auf der OFAC-Sanktionsliste des US-Finanzministeriums, eingeschränkte Jurisdiktionen und Projekt-Insider aus. Forscher, die Schwachstellenberichte einreichen, müssen einen ausführbaren Proof of Concept bereitstellen.
