Immunefi ha lanzado un sistema de créditos que devuelve las tarifas de envío de informes de errores válidos a más de 700 investigadores, incluidos aquellos cuyos hallazgos fueron cerrados como duplicados o problemas conocidos de forma privada.
Resumen
- Los informes válidos califican para créditos equivalentes a las tarifas de envío, sin reemplazar las recompensas de los investigadores.
- Cada crédito vale $1, expira después de 12 meses y no se puede retirar ni transferir.
- Los hallazgos válidos únicos se duplicaron entre enero y septiembre, según el anuncio de Immunefi.
- La competencia de auditoría de Plether se ha abierto con un fondo de recompensas de $80,000 USDC para investigadores de seguridad.
Según el anuncio de Immunefi del 2 de noviembre, el programa cubre los informes elegibles enviados desde que comenzaron las tarifas a principios de este año, con saldos acreditados automáticamente. Los investigadores no necesitan presentar una reclamación ni completar una solicitud por separado.
La política aborda una queja de los cazadores que pagaron para reportar una vulnerabilidad real, solo para descubrir que alguien más ya la había encontrado o que el protocolo la conocía de forma privada.
“Encontraste un error válido, y alguien más lo reportó primero”, escribió Immunefi. “A partir de hoy, recibes créditos equivalentes a esa tarifa, listos para tu próximo envío.”
Los créditos de Immunefi cubren hallazgos válidos y problemas conocidos de forma privada
La elegibilidad se remonta al 24 de marzo para las recompensas por errores y al 10 de abril para las competencias de auditoría. El hallazgo original de un investigador califica una vez que se paga a través de un programa de recompensas o se confirma en una competencia de auditoría, incluidos los conocimientos aceptados.
Los duplicados califican cuando el informe original es válido, independientemente de cuántos investigadores encontraron independientemente la misma vulnerabilidad. La mediación exitosa otorga créditos tanto por la tarifa de envío como por la tarifa de mediación.
Los problemas conocidos de forma privada reciben un tratamiento similar. Immunefi dijo que los protocolos a veces registran vulnerabilidades que no pueden divulgar antes de que una solución esté lista, dejando a los investigadores incapaces de saber que su descubrimiento ya está documentado.
Un cierre por problema conocido debe mostrar una fecha de registro o una fuente pública. Si no aparece ninguna de las dos, el problema cuenta como privado a efectos de crédito. Los informes califican cuando el protocolo registró el problema después de que el investigador lo enviara.
Las vulnerabilidades divulgadas públicamente siguen excluidas, junto con los informes no válidos, los envíos fuera de alcance, las violaciones de políticas y los duplicados de informes rechazados. Los investigadores no pueden obtener un segundo crédito enviando su propio hallazgo nuevamente.
Los envíos asistidos por IA han crecido más rápido que los hallazgos válidos
Immunefi dijo que los hallazgos válidos únicos se duplicaron de enero a septiembre, mientras que los envíos totales crecieron más rápido. La compañía atribuyó el descubrimiento más rápido de errores y la redacción de informes a las herramientas de IA, describiendo el volumen como algo que requiere nuevos sistemas para manejar el trabajo válido de manera justa.
En su actualización de septiembre, la fundación dijo que una vulnerabilidad de alta severidad atrajo 24 informes duplicados durante una competencia reciente. Cada envío requiere triaje y clasificación, trabajo que cubren las tarifas de envío, según la actualización.
Los investigadores acogieron con satisfacción el anuncio en respuestas públicas. Skydev lo describió como la resolución de la mitad relacionada con las tarifas del problema de duplicados y problemas conocidos de forma privada, tras cambios anteriores en los cálculos de precisión. Vuk.Digital elogió los créditos retroactivos y dijo que el cambio eliminó los saldos negativos para los investigadores que participan en concursos de auditoría.
Keizo dijo que la comunidad había planteado el problema e Immunefi había escuchado. Las reacciones se centraron en el costo de enviar trabajo legítimo cuando los investigadores no pueden inspeccionar informes privados anteriores.
Los créditos caducan después de 12 meses y permanecen dentro de la plataforma
Un crédito equivale a $1, y los investigadores pueden comprar créditos usando USDC. Immunefi dijo que los créditos ahora pagan los envíos, la mediación y la verificación de cuentas, con soporte para Immunefi Studio cuando se abra públicamente.
Las recompensas de bug bounty y de competiciones siguen siendo separadas. Un investigador que cumpla los requisitos recibe la recompensa normal más créditos equivalentes a la tarifa correspondiente.
Los créditos comprados y ganados caducan 12 meses después de entrar en una cuenta. Los saldos retroactivos reciben un año completo desde el lanzamiento, y la plataforma gasta primero los créditos más antiguos.
Las tarifas de verificación de cuenta pueden ser elegibles una vez que un investigador envía un informe válido después de la verificación y alcanza al menos un 25% de precisión en bug bounties o en competiciones de auditoría. La verificación con Human Passport sigue siendo gratuita.
Las comprobaciones de créditos actualmente se ejecutan cada dos semanas. Immunefi planea automatizarlas, pero los saldos elegibles pueden tardar hasta dos semanas en aparecer mientras el proceso actual siga vigente.
Plether abre una competición de auditoría de $80,000
La competición Plether de Immunefi se abrió el 2 de noviembre con $80,000 en recompensas en USDC. El proyecto de Arbitrum ofrece posiciones perpetuas sobre un índice de dólar compuesto por seis monedas principales.
La página del programa describe el sistema como probado en Arbitrum Sepolia, sin despliegue en mainnet. Las recompensas se dividen en un fondo principal de $56,000, un fondo All Stars de $16,000 y un fondo de podio de $8,000.
Las reglas de participación excluyen a las personas en la lista de sanciones OFAC del Tesoro de EE. UU., jurisdicciones restringidas y personas internas del proyecto. Los investigadores que envíen informes de vulnerabilidad deben proporcionar una prueba de concepto ejecutable.
