Immunefi 推出了一套积分系统，向 700 多名研究人员返还有效漏洞报告的提交费用，其中包括那些发现结果被以重复或私下已知问题为由关闭的漏洞猎人。
摘要
- 有效报告可获得等同于提交费用的积分，且不会取代研究人员的赏金奖励。
- 每积分价值 1 美元，12 个月后过期，且不可提取或转让。
- 据 Immunefi 公告，1 月至 9 月期间，独特的有效发现数量翻了一番。
- Plether 的审计竞赛已开启，为安全研究人员提供 80,000 USDC 的奖励池。
根据 Immunefi 于 11 月 2 日发布的公告，该计划涵盖自今年早些时候开始收费以来提交的符合条件的报告，余额将自动计入。研究人员无需提交申请或完成单独的申请流程。
该政策回应了漏洞猎人的一项投诉：他们付费报告了一个真实漏洞，却得知其他人已经发现了它，或者该协议私下已经知晓。
“你发现了一个有效漏洞，但别人先报告了它，”Immunefi 写道。“从今天起，你将获得等同于该费用的积分，可用于下一次提交。”
Immunefi 积分涵盖有效发现和私下已知问题
资格可追溯至 3 月 24 日（漏洞赏金）和 4 月 10 日（审计竞赛）。研究人员的原始发现一旦通过赏金计划支付或在审计竞赛中得到确认（包括被接受的见解），即符合资格。
当原始报告有效时，重复报告也符合资格，无论有多少研究人员独立发现了同一漏洞。成功调解可为提交费和调解费获得积分。
私下已知问题也获得类似处理。Immunefi 表示，协议有时会登记在修复准备就绪前无法披露的漏洞，导致研究人员无法知道他们的发现已被记录。
以已知问题为由关闭的报告必须显示登记日期或公开来源。若两者均未出现，则该问题在积分目的上被视为私下问题。当协议在研究人员的提交之后登记该问题时，报告即符合资格。
公开披露的漏洞仍被排除在外，同时被排除的还有无效报告、超出范围的提交、违反政策以及被拒报告的重复项。研究人员不能通过再次提交自己的发现来获得第二个积分。
AI 辅助提交的增长速度快于有效发现
Immunefi 表示，从 1 月到 9 月，独特的有效发现数量翻了一番，而总提交量增长更快。该公司将漏洞发现和报告撰写速度的加快归因于 AI 工具，并称这一数量需要新系统来公平处理有效工作。
在其9 月更新中，该基金会表示，在最近的一次竞赛中，一个高危漏洞吸引了 24 份重复报告。根据该更新，每份提交都需要分类和归类，而提交费用涵盖了这项工作。
研究人员在公开回复中对这一公告表示欢迎。Skydev 称，继此前对准确性计算的调整之后，这解决了重复和私下已知问题中与费用相关的那一半问题。Vuk.Digital 赞扬了追溯积分，并表示这一变化消除了参与审计竞赛的研究人员的负余额。
Keizo 表示，社区提出了这个问题，Immunefi 听取了意见。各方反应集中在研究人员无法查看此前的私密报告时提交合法工作的成本上。
积分在12个月后过期并留在平台内
一个积分等于1美元，研究人员可以使用 USDC 购买积分。Immunefi 表示，积分现在可用于支付提交、调解和账户验证费用，并在 Immunefi Studio 公开开放时为其提供支持。
赏金和竞赛奖励仍然分开。符合条件的研究人员将获得正常奖励，外加与相关费用等额的积分。
购买和赚取的积分在进入账户12个月后过期。追溯余额从上线起获得整整一年有效期，平台会优先使用最旧的积分。
研究人员在验证后提交有效报告，并在漏洞赏金或审计竞赛中达到至少25%的准确率，账户验证费用即可符合条件。Human Passport 验证仍然免费。
积分检查目前每两周运行一次。Immunefi 计划将其自动化，但在当前流程保持不变的情况下，符合条件的余额最多可能需要两周才会显示。
Plether 开启8万美元审计竞赛
Immunefi 的 Plether 竞赛于11月2日开启，提供8万美元 USDC 奖励。这个 Arbitrum 项目在一个由六种主要货币组成的美元指数上提供永续头寸。
项目页面称该系统正在 Arbitrum Sepolia 上测试，尚未部署到主网。奖励分为5.6万美元的主池、1.6万美元的全明星池和8000美元的领奖台池。
参与规则排除了美国财政部 OFAC 制裁名单上的人员、受限司法管辖区和项目内部人员。提交漏洞报告的研究人员必须提供可运行的概念验证。
