Solana
Solana Agave Security Bug Bounties
Actif
01 Fév 2024 - TBA
Solana est une blockchain performante et permissionless offrant une infrastructure scalable pour les applications décentralisées. Pour garantir une résilience maximale du réseau, la Solana Foundation maintient un programme continu de Security Bug Bounty pour le client validateur Agave. Géré via le repository Anza, cette initiative incite les chercheurs en sécurité à divulguer de manière responsable les vulnérabilités critiques du réseau. Avec une mise à jour majeure de la politique effective à partir du 1er février 2024, les récompenses sont désormais exclusivement libellées en tokens SOL et distribuées sous forme de comptes stake verrouillés pour 12 mois.
Solana - Solana Agave Security Bug Bounties Aperçu
Comment participer Solana - Solana Agave Security Bug Bounties?
Les participants peuvent gagner des montants variables de SOL verrouillés en fonction de la gravité de la vulnérabilité divulguée. Le niveau le plus élevé couvre les exploits de Perte de Fonds, offrant jusqu'à 25 000 SOL (avec un minimum de 6 250 SOL). Les autres niveaux critiques incluent les Violations de Consensus/Sécurité rémunérées entre 3 125 et 12 500 SOL, tandis que les problèmes de Liveness ou de Perte de Disponibilité sont récompensés entre 1 250 et 5 000 SOL. Les bugs mineurs tels que les crashs RPC DoS rapportent entre 20 et 65 SOL.
Le programme fonctionne via un processus strict de divulgation privée sur le portail GitHub officiel. Les soumissions doivent inclure une preuve de concept (PoC) robuste affectant la branche master du monorepo Agave. L’impact de ce programme rigoureux a été récemment démontré en avril 2025, lorsque le chercheur en sécurité LonelySloth a identifié et signalé avec succès une vulnérabilité critique dans le ZK ElGamal Proof Program affectant les transferts confidentiels Token-22, qui a été rapidement corrigée dans les versions Agave v2.1.21 et v2.2.11.
Guide étape par étape
Activez la double authentification (2FA) sur votre compte GitHub.
Accédez au portail privé de reporting sur le dépôt officiel Agave.
Soumettez un rapport détaillé accompagné d’un proof-of-concept (PoC) exploit fonctionnel affectant la branche master.
Envoyez un email à l'équipe de sécurité Anza à [email protected] avec l'URL complète de l'avis si vous ne recevez pas de réponse sous 72 heures.
Complétez la vérification obligatoire KYC avant la distribution de toute récompense verrouillée en SOL.