Qué es un programa de recompensas por errores (bug bounty)
Nota: Este documento es una traducción automática del original en inglés.
Qué es un programa de recompensas por errores (bug bounty)
Un programa de recompensas por errores (bug bounty) es un programa en el que un proyecto ofrece recompensas económicas a investigadores de seguridad independientes que descubren y divulgan de forma responsable vulnerabilidades en su código. En lugar de depender únicamente de un equipo interno o de un auditor contratado, un bug bounty abre la búsqueda de errores a la comunidad de seguridad mundial — cualquiera con las habilidades puede participar, y el proyecto solo paga cuando se encuentran vulnerabilidades válidas.
Piensa en un bug bounty como contratar a una multitud de cerrajeros para que prueben cada cerradura de tu edificio, con una oferta permanente: si alguien encuentra una cerradura que se puede forzar, recibe un pago. No pagas a menos que se encuentre un fallo real, y los cerrajeros están motivados para esforzarse más porque la recompensa es proporcional a la gravedad de lo que encuentran. En cripto, el mismo principio se aplica al código de los contratos inteligentes, a la lógica del protocolo y a la seguridad de la infraestructura.
En resumen: un bug bounty es un programa de seguridad colaborativo (crowdsourced) que paga a investigadores independientes por encontrar y reportar vulnerabilidades — proporciona una cobertura de seguridad continua y abierta que complementa las auditorías estructuradas.
Cómo funciona un programa de recompensas por errores
Estructura del programa
Un programa de recompensas por errores define varios elementos clave:
- Alcance — qué contratos, repositorios de código, frontends, APIs o componentes de infraestructura son elegibles para las presentaciones. Los elementos fuera de alcance se excluyen explícitamente para evitar esfuerzos desperdiciados y reportes falsos.
- Niveles de severidad — las vulnerabilidades se clasifican por impacto, normalmente usando una escala como Crítica, Alta, Media y Baja. Cada nivel tiene un rango de recompensa definido.
- Importes de las recompensas — los pagos van desde unos pocos cientos de dólares por hallazgos de baja severidad hasta cientos de miles (o más) por vulnerabilidades críticas que podrían provocar la pérdida de fondos de los usuarios. Algunos grandes protocolos DeFi ofrecen recompensas superiores a un millón de dólares por errores críticos.
- Reglas de participación — los investigadores deben seguir prácticas de divulgación responsable: reportar de forma privada, no explotar la vulnerabilidad, no divulgarla públicamente antes de que se despliegue la corrección y no realizar pruebas en mainnet con fondos reales de usuarios. Violar estas reglas normalmente descalifica una presentación.
Presentación y triaje
Cuando un investigador descubre una posible vulnerabilidad, presenta un informe detallado a través de la plataforma de recompensas por errores o directamente al proyecto. El informe incluye una descripción de la vulnerabilidad, una prueba de concepto que demuestra el exploit, el impacto estimado y una corrección sugerida si procede.
El equipo de seguridad del proyecto (o el equipo de triaje de la plataforma de recompensas) revisa la presentación, valida el hallazgo, evalúa su severidad y determina la recompensa apropiada. Este proceso puede tardar de días a semanas dependiendo de la complejidad del problema. Una vez confirmada y corregida la vulnerabilidad, el investigador recibe el pago y el hallazgo puede divulgarse públicamente (con el consentimiento del investigador) para generar confianza y conocimiento en la comunidad.
Plataformas de recompensas por errores
Varias plataformas se especializan en gestionar programas de recompensas por errores para proyectos blockchain:
- Immunefi — la plataforma dominante para recompensas por errores de DeFi y blockchain, que aloja programas de los principales protocolos con algunos de los mayores fondos de recompensa del sector.
- HackerOne y Bugcrowd — plataformas de recompensas por errores de propósito general, también utilizadas por algunos proyectos cripto, particularmente para la seguridad de aplicaciones web e infraestructura.
Estas plataformas gestionan la administración de presentaciones, el soporte de triaje, el procesamiento de pagos y proporcionan una capa de confianza entre investigadores y proyectos. También mantienen tablas de clasificación públicas y sistemas de reputación para los investigadores.
Por qué los programas de recompensas por errores importan para los proyectos de IA cripto
Cobertura de seguridad continua
Una auditoría de contratos inteligentes es una revisión puntual en el tiempo — examina el código tal como existe en un momento específico. Después de la auditoría, el código puede cambiar, pueden desplegarse nuevos contratos y el protocolo puede interactuar con nuevos sistemas externos. Un bug bounty proporciona cobertura de seguridad continua: mientras el programa esté activo, investigadores de todo el mundo tienen incentivos para encontrar vulnerabilidades en la versión actual y en producción del código.
Diversidad de experiencia
Ningún equipo de auditoría por sí solo puede cubrir todos los vectores de ataque posibles. Los programas de recompensas por errores atraen a investigadores con diversos perfiles, especializaciones y perspectivas. Algunos se especializan en ataques de reentrada, otros en exploits económicos, otros en vulnerabilidades de puentes entre cadenas y otros en infraestructura offchain. Esta diversidad de experiencia aumenta la probabilidad de encontrar vulnerabilidades que un único equipo de auditoría podría pasar por alto.
Alineación de incentivos
Los programas de recompensas por errores crean un incentivo económico para que los investigadores reporten vulnerabilidades en lugar de explotarlas. En ausencia de un bug bounty, un investigador que descubre un fallo crítico se enfrenta a una elección: reportarlo gratis (o, en el mejor de los casos, por un pequeño agradecimiento), o explotarlo para obtener una ganancia económica potencialmente grande. Un bug bounty bien financiado cambia este cálculo al convertir la divulgación responsable en la opción más rentable.
Señal de compromiso con la seguridad
Para los proyectos listados en DecAIHub, un programa de recompensas por errores activo con importes de recompensa significativos indica que el equipo trata la seguridad como una preocupación continua, no como una casilla que marcar una sola vez. Un proyecto con una auditoría completada y un bug bounty activo demuestra un enfoque de seguridad por capas — la postura más madura disponible para los sistemas basados en contratos inteligentes.
Dónde aparece esto en las fichas de proyecto de DecAIHub
- Campo
Bug bounty(yes/no/—) — indica si el proyecto mantiene un programa de recompensas por errores activo. Los enlaces al programa, a la plataforma (Immunefi, HackerOne, etc.) y a los términos van en los camposlinks_*o en la tabla de Evidencia. - Evidencia:
Bug bounty— la fila de la tabla de evidencia que registra la existencia de un programa activo y un enlace a él. - Sección
Security and incidents— la parte de la ficha que indica el estado del programa de recompensas por errores, las auditorías y el modelo de amenazas del proyecto.
Un programa activo con recompensas sustanciales es una señal de seguridad más fuerte que un programa con pagos mínimos o que la ausencia de programa. La combinación del estado de la auditoría y del estado del bug bounty ayuda a evaluar la madurez de seguridad general de la infraestructura onchain de un proyecto: los proyectos sin ninguno de los dos representan un riesgo mayor; los proyectos con ambos representan la postura de seguridad más madura.
Lo que un programa de recompensas por errores por sí solo no demuestra
- Ausencia de vulnerabilidades — un bug bounty incentiva a los investigadores a encontrar errores, pero la ausencia de hallazgos reportados no demuestra que el código sea seguro. Puede significar que nadie ha mirado con suficiente atención, que el alcance es demasiado estrecho o que las recompensas son insuficientes para atraer a los mejores investigadores.
- Calidad del código — un bug bounty es un mecanismo reactivo. Detecta los errores después de que existen, pero no mejora el proceso de desarrollo que los produjo. El código limpio, las pruebas exhaustivas y una arquitectura sólida son cuestiones aparte.
- Seguridad exclusivamente onchain — la mayoría de los programas de recompensas por errores se centran en vulnerabilidades a nivel de contrato inteligente y de protocolo. Pueden no cubrir la infraestructura offchain, las aplicaciones frontend, los servidores de API o los pipelines de inferencia de IA. La definición del alcance determina qué se cubre realmente.
- Distribución justa de las recompensas — sí se producen disputas entre investigadores y proyectos sobre las clasificaciones de severidad y los importes de las recompensas. No todos los programas se gestionan de forma justa. La reputación de la plataforma y el historial del proyecto en el manejo de las presentaciones importan.
- Descentralización o calidad de la gobernanza — un bug bounty es un mecanismo de seguridad, no una estructura de gobernanza. Un proyecto con un sólido programa de recompensas por errores puede aun así tener un control totalmente centralizado, una gobernanza opaca o claves de administrador concentradas.
No confundir con
| Término | Distinción |
|---|---|
| Auditoría | Una auditoría es una revisión de código estructurada y acotada en el tiempo por un equipo seleccionado. Un bug bounty es una invitación abierta y continua para que cualquiera encuentre vulnerabilidades. Las auditorías son proactivas; los bug bounties son reactivos y continuos. Se complementan entre sí. |
| Divulgación responsable | La divulgación responsable es la práctica de reportar de forma privada una vulnerabilidad a la parte afectada antes de publicarla. Un bug bounty es un programa que incentiva la divulgación responsable con recompensas económicas. No todas las divulgaciones responsables ocurren a través de bug bounties. |
| Programa de recompensas (no de seguridad) | Algunos proyectos ofrecen recompensas por tareas no relacionadas con la seguridad — documentación, traducciones, creación de comunidad. Un bug bounty se dirige específicamente a las vulnerabilidades de seguridad en el código y la infraestructura. El término "recompensa" (bounty) por sí solo puede ser ambiguo. |
Preguntas frecuentes
¿En qué se diferencia un programa de recompensas por errores de una auditoría?
Una auditoría es una contratación estructurada y acotada en el tiempo en la que un equipo seleccionado de expertos en seguridad revisa el código de forma sistemática y produce un informe exhaustivo. Un bug bounty es una invitación abierta y continua para que cualquier investigador cualificado encuentre y reporte vulnerabilidades. Las auditorías son proactivas y planificadas; los bug bounties son reactivos y continuos. Cumplen propósitos diferentes y son más efectivos cuando se usan juntos.
¿Qué hace que un programa de recompensas por errores sea efectivo?
Tres factores determinan la efectividad: alcance (el programa debe cubrir los componentes más críticos), recompensas (los pagos deben ser lo suficientemente grandes como para atraer a investigadores cualificados — particularmente para los hallazgos de severidad crítica) y capacidad de respuesta (el proyecto debe triar las presentaciones con prontitud, comunicarse de forma transparente y pagar de manera justa). Un programa con recompensas bajas, un alcance estrecho o una mala reputación en el triaje tendrá dificultades para atraer a investigadores serios.
¿Puede cualquiera participar en un programa de recompensas por errores?
Generalmente, sí. La mayoría de los programas de recompensas por errores de blockchain están abiertos a cualquiera con las habilidades técnicas para identificar vulnerabilidades. Los investigadores no necesitan certificaciones formales ni afiliaciones — lo que importa es la calidad de su presentación. Sin embargo, los participantes deben seguir las reglas del programa: divulgación responsable, no explotación de la vulnerabilidad y no realizar pruebas en mainnet con fondos reales de usuarios. Las personas o entidades sancionadas pueden quedar excluidas por motivos de cumplimiento legal.
Referencias externas
- Immunefi — Bug Bounty Platform — la plataforma líder de recompensas por errores para proyectos DeFi y blockchain, que aloja programas con algunos de los mayores fondos de recompensa del sector.
No comments to display
No comments to display