Immunefi uruchomił system kredytów, który zwraca opłaty za zgłoszenia w przypadku prawidłowych zgłoszeń błędów ponad 700 badaczom, w tym łowcom, których ustalenia zostały zamknięte jako duplikaty lub prywatne znane problemy.
Podsumowanie
- Prawidłowe zgłoszenia kwalifikują się do kredytów równych opłatom za zgłoszenie, bez zastępowania nagród bounty badaczy.
- Każdy kredyt jest wart 1 USD, wygasa po 12 miesiącach i nie można go wypłacić ani przenieść.
- Liczba unikalnych prawidłowych ustaleń podwoiła się między styczniem a wrześniem, zgodnie z ogłoszeniem Immunefi.
- Konkurs audytowy Plether został otwarty z pulą nagród 80 000 USDC dla badaczy bezpieczeństwa.
Zgodnie z ogłoszeniem Immunefi z 2 listopada, program obejmuje kwalifikujące się zgłoszenia złożone od czasu wprowadzenia opłat na początku tego roku, a salda są kredytowane automatycznie. Badacze nie muszą składać roszczenia ani wypełniać osobnego wniosku.
Polityka ta odpowiada na skargę łowców, którzy zapłacili za zgłoszenie prawdziwej luki, aby dowiedzieć się, że ktoś inny już ją znalazł lub że protokół prywatnie o niej wiedział.
„Znalazłeś prawidłowy błąd, a ktoś inny zgłosił go pierwszy” – napisał Immunefi. „Od dziś otrzymujesz kredyty równe tej opłacie, gotowe na twoje następne zgłoszenie”.
Kredyty Immunefi obejmują prawidłowe ustalenia i prywatne znane problemy
Kwalifikowalność sięga 24 marca dla bug bounty i 10 kwietnia dla konkursów audytowych. Oryginalne ustalenie badacza kwalifikuje się, gdy zostanie opłacone przez program bounty lub potwierdzone w konkursie audytowym, w tym zaakceptowane spostrzeżenia.
Duplikaty kwalifikują się, gdy oryginalne zgłoszenie jest prawidłowe, niezależnie od tego, ilu badaczy niezależnie znalazło tę samą lukę. Udana mediacja przynosi kredyty zarówno za opłatę za zgłoszenie, jak i opłatę za mediację.
Prywatne znane problemy otrzymują podobne traktowanie. Immunefi stwierdził, że protokoły czasami rejestrują luki, których nie mogą ujawnić przed przygotowaniem poprawki, pozostawiając badaczy bez możliwości wiedzy, że ich odkrycie jest już udokumentowane.
Zamknięcie jako znany problem musi wskazywać datę rejestracji lub publiczne źródło. Jeśli żadne z nich nie występuje, problem liczy się jako prywatny do celów kredytowych. Zgłoszenia kwalifikują się, gdy protokół zarejestrował problem po tym, jak badacz go zgłosił.
Publicznie ujawnione luki pozostają wykluczone, podobnie jak nieprawidłowe zgłoszenia, zgłoszenia poza zakresem, naruszenia polityki i duplikaty odrzuconych zgłoszeń. Badacze nie mogą zdobyć drugiego kredytu, ponownie zgłaszając własne ustalenie.
Zgłoszenia wspomagane przez AI rosły szybciej niż prawidłowe ustalenia
Immunefi stwierdził, że liczba unikalnych prawidłowych ustaleń podwoiła się od stycznia do września, podczas gdy całkowita liczba zgłoszeń rosła szybciej. Firma przypisała szybsze odkrywanie błędów i pisanie raportów narzędziom AI, opisując ten wolumen jako wymagający nowych systemów do sprawiedliwego obsługiwania prawidłowej pracy.
W swoim wrześniowym raporcie fundacja podała, że jedna luka o wysokiej wadze przyciągnęła 24 duplikaty zgłoszeń podczas niedawnego konkursu. Każde zgłoszenie wymaga triażu i klasyfikacji, pracy, którą pokrywają opłaty za zgłoszenie, zgodnie z raportem.
Badacze przyjęli ogłoszenie z zadowoleniem w publicznych odpowiedziach. Skydev opisał je jako rozwiązujące związaną z opłatami połowę problemu duplikatów i prywatnych znanych problemów, po wcześniejszych zmianach w obliczeniach dokładności. Vuk.Digital pochwalił retroaktywne kredyty i stwierdził, że zmiana usunęła ujemne salda dla badaczy uczestniczących w konkursach audytowych.
Keizo powiedział, że społeczność zgłosiła problem, a Immunefi wysłuchało. Reakcje skupiły się na koszcie zgłaszania uzasadnionej pracy, gdy badacze nie mogą przejrzeć wcześniejszych prywatnych zgłoszeń.
Kredyty wygasają po 12 miesiącach i pozostają w obrębie platformy
Jeden kredyt równa się 1 USD, a badacze mogą kupować kredyty za pomocą USDC. Immunefi poinformowało, że kredyty pokrywają teraz opłaty za zgłoszenia, mediację i weryfikację konta, ze wsparciem dla Immunefi Studio, gdy zostanie ono publicznie otwarte.
Nagrody za bug bounty i konkursy pozostają oddzielne. Kwalifikujący się badacz otrzymuje standardową nagrodę plus kredyty odpowiadające odpowiedniej opłacie.
Kupione i zdobyte kredyty wygasają 12 miesięcy po ich wpłynięciu na konto. Salda retroaktywne otrzymują pełny rok od uruchomienia, a platforma wydaje najpierw najstarsze kredyty.
Opłaty za weryfikację konta mogą zostać zakwalifikowane, gdy badacz złoży ważne zgłoszenie po weryfikacji i osiągnie co najmniej 25% dokładności w bug bounty lub konkursach audytowych. Weryfikacja Human Passport pozostaje bezpłatna.
Kontrole kredytów są obecnie przeprowadzane co dwa tygodnie. Immunefi planuje je zautomatyzować, ale kwalifikujące się salda mogą pojawić się dopiero po dwóch tygodniach, dopóki obecny proces pozostaje w mocy.
Plether otwiera konkurs audytowy o wartości 80 000 USD
Konkurs Plether firmy Immunefi otworzył się 2 listopada z nagrodami w USDC o wartości 80 000 USD. Projekt na Arbitrum oferuje pozycje wieczyste na indeksie dolara obejmującym sześć głównych walut.
Strona programu opisuje system jako testowany na Arbitrum Sepolia, bez wdrożenia na mainnet. Nagrody są podzielone na główną pulę 56 000 USD, pulę All Stars 16 000 USD i pulę podium 8 000 USD.
Zasady uczestnictwa wykluczają osoby znajdujące się na liście sankcji OFAC Departamentu Skarbu USA, w ograniczonych jurysdykcjach oraz osoby z wewnątrz projektu. Badacze zgłaszający podatności muszą dostarczyć uruchamialny dowód koncepcji.
