Immunefi a lancé un système de crédits qui rembourse les frais de soumission sur les rapports de bogues valides à plus de 700 chercheurs, y compris les chasseurs dont les découvertes ont été clôturées comme doublons ou problèmes connus privés.
Résumé
- Les rapports valides donnent droit à des crédits équivalents aux frais de soumission, sans remplacer les récompenses de prime des chercheurs.
- Chaque crédit vaut 1 $, expire après 12 mois et ne peut être retiré ni transféré.
- Les découvertes valides uniques ont doublé entre janvier et septembre, selon l'annonce d'Immunefi.
- Le concours d'audit de Plether a ouvert avec une cagnotte de 80 000 USDC pour les chercheurs en sécurité.
Selon l'annonce d'Immunefi du 2 novembre, le programme couvre les rapports éligibles soumis depuis que les frais ont commencé plus tôt cette année, les soldes étant crédités automatiquement. Les chercheurs n'ont pas besoin de soumettre une réclamation ni de remplir une demande séparée.
La politique répond à une plainte de chasseurs qui ont payé pour signaler une véritable vulnérabilité, pour ensuite apprendre que quelqu'un d'autre l'avait déjà trouvée ou que le protocole la connaissait en privé.
« Vous avez trouvé un bogue valide, et quelqu'un d'autre l'a signalé en premier », a écrit Immunefi. « À partir d'aujourd'hui, vous recevez des crédits équivalents à ces frais, prêts pour votre prochaine soumission. »
Les crédits Immunefi couvrent les découvertes valides et les problèmes connus privés
L'éligibilité remonte au 24 mars pour les primes de bogues et au 10 avril pour les concours d'audit. La découverte originale d'un chercheur est éligible une fois qu'elle est payée via un programme de prime ou confirmée dans un concours d'audit, y compris les insights acceptés.
Les doublons sont éligibles lorsque le rapport original est valide, quel que soit le nombre de chercheurs ayant indépendamment trouvé la même vulnérabilité. Une médiation réussie donne droit à des crédits pour les frais de soumission et les frais de médiation.
Les problèmes connus privés reçoivent un traitement similaire. Immunefi a déclaré que les protocoles enregistrent parfois des vulnérabilités qu'ils ne peuvent pas divulguer avant qu'un correctif soit prêt, laissant les chercheurs incapables de savoir que leur découverte est déjà documentée.
Une clôture pour problème connu doit indiquer soit une date d'enregistrement, soit une source publique. Si aucune des deux n'apparaît, le problème est considéré comme privé aux fins des crédits. Les rapports sont éligibles lorsque le protocole a enregistré le problème après que le chercheur l'a soumis.
Les vulnérabilités divulguées publiquement restent exclues, aux côtés des rapports invalides, des soumissions hors périmètre, des violations de politique et des doublons de rapports rejetés. Les chercheurs ne peuvent pas obtenir un second crédit en soumettant à nouveau leur propre découverte.
Les soumissions assistées par IA ont augmenté plus vite que les découvertes valides
Immunefi a déclaré que les découvertes valides uniques ont doublé de janvier à septembre, tandis que le total des soumissions a augmenté plus rapidement. L'entreprise a attribué la découverte de bogues et la rédaction de rapports plus rapides aux outils d'IA, décrivant ce volume comme nécessitant de nouveaux systèmes pour traiter équitablement le travail valide.
Dans sa mise à jour de septembre, la fondation a déclaré qu'une vulnérabilité de haute gravité a attiré 24 rapports en doublon lors d'un récent concours. Chaque soumission nécessite un triage et une classification, un travail que les frais de soumission couvrent, selon la mise à jour.
Les chercheurs ont accueilli favorablement l'annonce dans des réponses publiques. Skydev l'a décrite comme résolvant la moitié liée aux frais du problème des doublons et des problèmes connus privés, à la suite de changements antérieurs dans les calculs de précision. Vuk.Digital a salué les crédits rétroactifs et a déclaré que le changement supprimait les soldes négatifs pour les chercheurs participant aux concours d'audit.
Keizo a déclaré que la communauté avait soulevé le problème et qu'Immunefi avait écouté. Les réactions se sont concentrées sur le coût de la soumission d'un travail légitime lorsque les chercheurs ne peuvent pas consulter les rapports privés antérieurs.
Les crédits expirent après 12 mois et restent au sein de la plateforme
Un crédit équivaut à 1 $, et les chercheurs peuvent acheter des crédits en USDC. Immunefi a indiqué que les crédits paient désormais les soumissions, la médiation et la vérification de compte, avec un support pour Immunefi Studio lors de son ouverture publique.
Les récompenses de primes et de compétitions restent séparées. Un chercheur éligible reçoit la récompense normale plus des crédits correspondant aux frais concernés.
Les crédits achetés et gagnés expirent 12 mois après leur entrée dans un compte. Les soldes rétroactifs bénéficient d'une année complète à compter du lancement, et la plateforme dépense d'abord les crédits les plus anciens.
Les frais de vérification de compte peuvent être éligibles une fois qu'un chercheur soumet un rapport valide après vérification et atteint au moins 25 % de précision dans les primes de bogues ou les compétitions d'audit. La vérification Human Passport reste gratuite.
Les contrôles de crédits sont actuellement effectués toutes les deux semaines. Immunefi prévoit de les automatiser, mais les soldes éligibles peuvent mettre jusqu'à deux semaines à apparaître tant que le processus actuel reste en place.
Plether ouvre une compétition d'audit de 80 000 $
La compétition Plether d'Immunefi a ouvert le 2 novembre avec 80 000 $ de récompenses en USDC. Le projet Arbitrum propose des positions perpétuelles sur un indice dollar composé de six grandes devises.
La page du programme décrit le système comme étant testé sur Arbitrum Sepolia, sans déploiement sur le réseau principal. Les récompenses sont réparties en un pool principal de 56 000 $, un pool All Stars de 16 000 $ et un pool podium de 8 000 $.
Les règles de participation excluent les personnes figurant sur la liste de sanctions OFAC du Trésor américain, les juridictions restreintes et les initiés du projet. Les chercheurs soumettant des rapports de vulnérabilité doivent fournir une preuve de concept exécutable.
