脆弱性報奨プログラム

Aaveは、報酬がエコシステム内の各部分のリスク状況により適合するように、バグ報奨プログラムを更新したと発表しました。また、審査のプロセスを簡素化しました。Aave V4およびCore Aave V3の重大なバグ修正報酬の上限は現在5倍に引き上げられました。

Aaveの公式は、エコシステムの各部分のリスク特性により適合させ、審査プロセスを簡素化するために、バグ報奨金プログラムの更新を発表しました。最新の調整により、Aave V4およびCore Aave V3の重要なバグ（Critical Bug）に対する報奨金の上限が元の5倍に引き上げられました。Aave Labsは同時に、報奨金フレームワークの再編成を提案し、異なるサブシステムをImmunefi、Sherlock、Cantinaなどのプラットフォームで管理することにしました。その中で、Core Aave V3、V2、GHOなどのコア部分は引き続きImmunefiが担当し、Aave V4およびAave App StackはSherlockに移行し、Aave V3 on AptosはCantinaが担当します。

Web3 セキュリティプラットフォーム Immunefi は X プラットフォームで発表し、DeFi プロトコル Alchemix が最新の v3 コントラクトに基づいてプラットフォーム上でバグバウンティプログラムを再開し、最高報酬は 30 万ドルに達することを発表しました。このプログラムは、安全研究者が新しいバージョンのコントラクトコードをレビューし、潜在的な脆弱性を早期に発見することを奨励し、プロトコル全体のセキュリティを向上させることを目的としています。Immunefi は、現在が関連コードの監査やバウンティプログラムへの参加の重要なウィンドウ期間であると述べています。

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、ブロックチェーン企業 Virtuals Protocol のスマートコントラクトが、セキュリティ研究者 Jinu（仮名）によるレビュー中に偶然に脆弱性が発見されました。Virtuals Protocol は迅速に修正措置を発表し、脆弱性報奨プログラムを再開しました。12 月 3 日、Jinu はコントラクトのレビュー中にこの問題を偶然発見し、すぐに Virtuals Protocol に報告しましたが、その後、同社には活発な脆弱性報奨プログラムがないことを知り、彼の発見は報酬の条件を満たさないことが分かりました。Jinu によれば、Virtuals Protocol チームはこの脆弱性を報告するための Discord グループも閉鎖しました。X プラットフォームの投稿で、Jinu は「この脆弱性は Virtuals エコシステムに影響を与える可能性があり、悪用されると、コントラクトが修正されるまで AgentTokens の生成を妨げることになります。」と述べました。この情報を X プラットフォームで公開した後、Virtuals Protocol は Jinu に連絡し、すぐに修正措置を発表しました。修正措置は迅速に発表されましたが、Virtuals Protocol は Jinu に脆弱性報奨を提供することをまだ発表していません。同社は研究者へのメッセージの中で、Jinu がこの問題を報告してくれたことに感謝し、以前のコミュニケーションの不備について謝罪しました。

ChainCatcher メッセージ、イーサリアム共同創設者 Vitalik Buterin が Bountycaster にて「サブリニアステーキング契約（Sublinear Staking Contract）の脆弱性バウンティ」を発表しました。賞金総額は 2 ETH で、契約内のいかなるエラー / 脆弱性を特定し、具体的な修正提案を行うことを目的としています。複数の問題が発見された場合、賞金は深刻度に応じて配分されます。具体的な要件は、発表されたサブリニアステーキング契約において、ユーザーがホワイトリストに登録されている場合（ERC1155 コレクションとして指定）、N 個のコインをステーキングでき、各スロットで N ** 0.75 個のコインのリターンを得ることができます。契約が支払いに必要なトークンを持っている限り、これが可能です。資金が尽きた場合でも、fundedUntil メカニズムにより、各ステーキング者は fundedUntil タイムスタンプ以前の各期間に報酬を受け取ることが保証されており、このメカニズムは部分準備金にはなりません。

ChainCatcher のメッセージによると、公式の発表で Uniswap Labs は Web3 セキュリティ会社 Cantina と提携し、脆弱性報奨金プログラムを拡大することを発表しました。ユーザーは Uniswap Labs Cantina 脆弱性報奨金ページを通じて申請を提出でき、報酬は公開された脆弱性の深刻度とリスクにさらされている資産の規模に基づいて配分され、最大で 225 万ドルに達します。また、公式の発表によると、これまでのところ、Uniswap プロトコルはハッキング攻撃なしで 2 万億ドル以上の取引を処理しています。

ChainCatcher のメッセージによると、公式の発表で Flow が EVM に相当する Crescendo を発表する予定であり、Flow を EVM エコシステムに接続し、開発者にとって最もスケーラブルで強力な計算層の一つになることを目指しています。さらに、同時に脆弱性報奨プログラムを開始しており、ネットワークの安定性やセキュリティに影響を与える可能性のあるスマートコントラクト、取引、またはスクリプトの脆弱性を探しています。最高レベルの脆弱性報奨金は 5 万ドルです。

ChainCatcher のメッセージによると、Compound DAO は以前に「Comet 脆弱性開示（修正済み）報奨プログラム提案」を発起し、脆弱性を報告し修正したブロックチェーン開発者に報酬を与えることを目的としていましたが、最終的な投票結果は 15,000 票の差で（必要な 400,000 の法定支持票数には達しなかったため）失敗に終わりました。70% 以上の票がこの提案を支持しました。報道によると、匿名の開発者「KP」が Compound COMP -1.33% v3 プロトコル（別名 Comet）の脆弱性を発見しました。KP の推定によれば、この脆弱性によりハッカーがユーザーの資金を直接盗むことが可能になりますが、根本的に利益はありません（100 万ドルの資金を盗むには攻撃者に数十億ドルのガス料金がかかります）。この脆弱性を発見し検証した後、KP は Compound とそのセキュリティパートナーである OpenZeppelin にこの脆弱性を報告し、攻撃の概念実証シミュレーションを含むコードベースを提供しました。脆弱性が修正された後、KP は Compound DAO に対して 125,000 ドルの報酬を要求する提案を発起しました。この提案は Compound Labs プロトコル責任者の Kevin Cheng と OpenZeppelin ソリューションアーキテクチャ責任者の Michael Lewellen の支持を得ました。

ChainCatcher のメッセージ、friend.tech がバグバウンティプログラムを開始しました。範囲には、friend.tech が Base 上に展開した契約、friend.tech ウェブサイト上にホスティングされているアプリケーション、およびユーザーの資金に脅威を与える可能性のあるその他の脆弱性が含まれます。報酬は最大 100 万 USDC です。

ChainCatcher のメッセージによると、公式の発表で Uniswap が脆弱性報奨プログラムを開始し、報奨の対象には Router コントラクト、Permit2 コントラクト、V3 コントラクト、UniswapX コントラクトが含まれ、最高で 225 万ドルの報酬が用意されています。報告によると、Uniswap は最も重要な問題を「多くのユーザーに影響を与え、評判、法的または財務的に深刻な影響を及ぼす」と定義し、最も軽微な問題は「直接的なリスクをもたらさないが、安全のベストプラクティスに関連する」としています。

ChainCatcher のメッセージによると、ApeCoin DAO のバグ報奨プログラムの協力会社の一つである Llama が、ソーシャルメディアで2週間のバグ報奨プログラムの第一段階が11月26日に終了したと発表しました。ステーキングスマートコントラクトは12月5日にメインネットで開始される予定で、Llama は「私たちは現在、テストネットのバグ報奨プログラムを完了し、Horizen と連絡を取っています。すべての提出物は慎重にテストおよび分析され、期間中に合計26件のバグ意見報告が寄せられ、その中で中程度の深刻度のバグが1件見つかりました。このバグはユーザーが資金を申請する能力を遅らせる可能性があります。Horizen は問題の解決に取り組んでおり、監査人は再監査を行っています。」と述べています。ApeCoin DAO がメインネットにステーキングスマートコントラクトを展開すると、バグ報奨プログラムの第二段階が始まり、3年間のステーキング期間を通じて続くことになります。（出典リンク）

链捕手メッセージによると、Aptosの公式情報として、Aptosは脆弱性報奨プログラムを開始し、最高報酬は100万ドルで、USDCとUSDTで支払われます。脆弱性の種類はブロックチェーンとスマートコントラクトです。すべての重要なブロックチェーン/DLTおよびスマートコントラクトのエラー報告には、証明概念（PoC）が必要で、報酬の対象となります。このプログラムにおける重大なエラー報告の報酬は固定されており、重大な影響を与えるエラー報告は全額報酬の対象となります。（出典リンク）