Solana
Solana Agave Security Bug Bounties
Đang hoạt động
01 Tháng 2 2024 - TBA
Solana là một blockchain hiệu suất cao, không cần cấp phép, cung cấp cơ sở hạ tầng có thể mở rộng cho các ứng dụng phi tập trung. Để đảm bảo độ bền mạng tối đa, Quỹ Solana duy trì một chương trình Security Bug Bounty liên tục cho client validator Agave. Được quản lý thông qua kho lưu trữ Anza, sáng kiến này khuyến khích các nhà nghiên cứu bảo mật tiết lộ có trách nhiệm các lỗ hổng mạng nghiêm trọng. Với một cập nhật chính sách lớn có hiệu lực từ ngày 1 tháng 2 năm 2024, phần thưởng hiện chỉ được định giá bằng token SOL và được phân phối dưới dạng tài khoản stake khóa 12 tháng.
Solana - Solana Agave Security Bug Bounties Tổng quan
Cách tham gia Solana - Solana Agave Security Bug Bounties?
Người tham gia có thể kiếm được số lượng SOL bị khóa khác nhau dựa trên mức độ nghiêm trọng của lỗ hổng được tiết lộ. Mức cao nhất bao gồm các khai thác Mất tiền, với phần thưởng lên đến 25.000 SOL (tối thiểu 6.250 SOL). Các cấp độ quan trọng khác bao gồm Vi phạm Đồng thuận/An toàn trả từ 3.125 đến 12.500 SOL, trong khi các vấn đề về Tính sống động hoặc Mất khả năng sẵn có được thưởng từ 1.250 đến 5.000 SOL. Các lỗi nhỏ như RPC DoS gây crash được thưởng từ 20 đến 65 SOL.
Chương trình hoạt động thông qua quy trình tiết lộ riêng tư nghiêm ngặt trên cổng GitHub chính thức. Các bài nộp phải bao gồm một proof-of-concept (PoC) mạnh mẽ ảnh hưởng đến master branch của Agave monorepo. Tác động của chương trình nghiêm ngặt này đã được chứng minh gần đây vào tháng 4 năm 2025, khi nhà nghiên cứu bảo mật LonelySloth thành công trong việc xác định và báo cáo một lỗ hổng nghiêm trọng trong ZK ElGamal Proof Program ảnh hưởng đến các chuyển khoản bí mật Token-22, và lỗ hổng này đã được vá kịp thời trong các phiên bản Agave v2.1.21 và v2.2.11.
Hướng dẫn từng bước
Bật xác thực hai yếu tố (2FA) trên tài khoản GitHub của bạn.
Truy cập cổng báo cáo riêng tư reporting portal trên kho lưu trữ chính thức của Agave.
Gửi báo cáo chi tiết kèm theo một bằng chứng khai thác (PoC) hoạt động ảnh hưởng đến nhánh master.
Gửi email cho đội ngũ bảo mật Anza tại [email protected] kèm theo URL tư vấn đầy đủ nếu bạn không nhận được phản hồi trong vòng 72 giờ.
Hoàn thành việc xác minh KYC bắt buộc trước khi phân phối bất kỳ phần thưởng SOL bị khóa nào.