A Immunefi lançou um sistema de créditos que devolve as taxas de submissão em relatórios de bugs válidos para mais de 700 pesquisadores, incluindo caçadores cujas descobertas foram encerradas como duplicatas ou problemas conhecidos privados.
Resumo
- Relatórios válidos qualificam-se para créditos iguais às taxas de submissão, sem substituir as recompensas de bounty dos pesquisadores.
- Cada crédito vale US$ 1, expira após 12 meses e não pode ser sacado ou transferido.
- Descobertas válidas únicas dobraram entre janeiro e setembro, segundo o anúncio da Immunefi.
- A competição de auditoria da Plether foi aberta com um prêmio de US$ 80.000 em USDC para pesquisadores de segurança.
De acordo com o anúncio da Immunefi em 2 de novembro, o programa abrange relatórios elegíveis enviados desde que as taxas começaram no início deste ano, com saldos creditados automaticamente. Os pesquisadores não precisam enviar uma solicitação nem preencher uma inscrição separada.
A política aborda uma reclamação de caçadores que pagaram para relatar uma vulnerabilidade real, apenas para descobrir que outra pessoa já a havia encontrado ou que o protocolo já sabia dela de forma privada.
“Você encontrou um bug válido, e outra pessoa o relatou primeiro”, escreveu a Immunefi. “A partir de hoje, você recebe créditos iguais a essa taxa, prontos para sua próxima submissão.”
Créditos da Immunefi cobrem descobertas válidas e problemas conhecidos privados
A elegibilidade retroage a 24 de março para bug bounties e a 10 de abril para competições de auditoria. A descoberta original de um pesquisador qualifica-se assim que é paga por meio de um programa de bounty ou confirmada em uma competição de auditoria, incluindo insights aceitos.
Duplicatas qualificam-se quando o relatório original é válido, independentemente de quantos pesquisadores encontraram independentemente a mesma vulnerabilidade. A mediação bem-sucedida rende créditos tanto para a taxa de submissão quanto para a taxa de mediação.
Problemas conhecidos privados recebem tratamento semelhante. A Immunefi disse que os protocolos às vezes registram vulnerabilidades que não podem divulgar antes que uma correção esteja pronta, deixando os pesquisadores incapazes de saber que sua descoberta já está documentada.
Um encerramento por problema conhecido deve mostrar uma data de registro ou uma fonte pública. Se nenhuma das duas aparecer, o problema conta como privado para fins de crédito. Os relatórios qualificam-se quando o protocolo registrou o problema depois que o pesquisador o enviou.
Vulnerabilidades divulgadas publicamente permanecem excluídas, juntamente com relatórios inválidos, submissões fora do escopo, violações de política e duplicatas de relatórios rejeitados. Os pesquisadores não podem ganhar um segundo crédito enviando novamente sua própria descoberta.
Submissões assistidas por IA cresceram mais rápido que descobertas válidas
A Immunefi disse que descobertas válidas únicas dobraram de janeiro a setembro, enquanto o total de submissões cresceu mais rápido. A empresa atribuiu a descoberta de bugs e a redação de relatórios mais rápidas às ferramentas de IA, descrevendo o volume como exigindo novos sistemas para lidar com trabalho válido de forma justa.
Em sua atualização de setembro, a fundação disse que uma vulnerabilidade de alta severidade atraiu 24 relatórios duplicados durante uma competição recente. Toda submissão exige triagem e classificação, trabalho que as taxas de submissão cobrem, segundo a atualização.
Os pesquisadores receberam bem o anúncio em respostas públicas. Skydev descreveu a medida como a resolução da metade relacionada a taxas do problema de duplicatas e problemas conhecidos privados, após mudanças anteriores nos cálculos de precisão. Vuk.Digital elogiou os créditos retroativos e disse que a mudança eliminou saldos negativos para pesquisadores que participam de concursos de auditoria.
Keizo disse que a comunidade havia levantado a questão e que a Immunefi tinha ouvido. As reações se concentraram no custo de enviar trabalho legítimo quando os pesquisadores não podem inspecionar relatórios privados anteriores.
Os créditos expiram após 12 meses e permanecem dentro da plataforma
Um crédito equivale a US$ 1, e os pesquisadores podem comprar créditos usando USDC. A Immunefi disse que os créditos agora pagam por envios, mediação e verificação de conta, com suporte para o Immunefi Studio quando ele abrir publicamente.
Recompensas de bounty e de competição permanecem separadas. Um pesquisador qualificado recebe a recompensa normal mais créditos equivalentes à taxa relevante.
Créditos comprados e ganhos expiram 12 meses após entrarem em uma conta. Saldos retroativos recebem um ano completo a partir do lançamento, e a plataforma gasta os créditos mais antigos primeiro.
As taxas de verificação de conta podem se qualificar quando um pesquisador envia um relatório válido após a verificação e alcança pelo menos 25% de precisão em bug bounties ou competições de auditoria. A verificação do Human Passport permanece gratuita.
As verificações de crédito atualmente ocorrem a cada duas semanas. A Immunefi planeja automatizá-las, mas saldos elegíveis podem levar até duas semanas para aparecer enquanto o processo atual permanecer em vigor.
Plether abre uma competição de auditoria de US$ 80.000
A competição Plether da Immunefi abriu em 2 de novembro com US$ 80.000 em recompensas em USDC. O projeto na Arbitrum oferece posições perpétuas em um índice de dólar composto por seis moedas principais.
A página do programa descreve o sistema como sendo testado na Arbitrum Sepolia, sem implantação na mainnet. As recompensas são divididas em um pool principal de US$ 56.000, um pool All Stars de US$ 16.000 e um pool de pódio de US$ 8.000.
As regras de participação excluem pessoas na lista de sanções da OFAC do Tesouro dos EUA, jurisdições restritas e insiders do projeto. Pesquisadores que enviam relatórios de vulnerabilidade devem fornecer uma prova de conceito executável.
