bug bounty چیست

توجه: این سند ترجمه خودکار نسخه اصلی انگلیسی است.

bug bounty چیست

bug bounty برنامه‌ای است که در آن پروژه به پژوهشگران امنیتی مستقل که آسیب‌پذیری‌های کد آن را کشف و به‌صورت مسئولانه گزارش می‌کنند، پاداش مالی می‌دهد. به‌جای تکیه صرف بر تیم داخلی یا ممیز استخدامی، bug bounty جست‌وجوی باگ را به روی جامعه جهانی امنیت باز می‌کند — هر کس مهارت داشته باشد می‌تواند شرکت کند و پروژه فقط زمانی پرداخت می‌کند که آسیب‌پذیری معتبر پیدا شود.

bug bounty را مانند استخدام جمعی از قفل‌سازها تصور کنید که همه قفل‌های ساختمان شما را آزمایش می‌کنند، با پیشنهادی همیشگی: هر کس قفلی پیدا کند که باز شود، پول می‌گیرد. تا وقتی نقص واقعی پیدا نشود پرداختی در کار نیست، و قفل‌سازها انگیزه دارند دقیق‌تر بگردند چون پاداش با شدت یافته متناسب است. در کریپتو همین اصل درباره کد قرارداد هوشمند، منطق پروتکل و امنیت زیرساخت صدق می‌کند.

خلاصه: bug bounty یک برنامه امنیتی جمع‌سپاری‌شده است که به پژوهشگران مستقل برای یافتن و گزارش آسیب‌پذیری‌ها پرداخت می‌کند — پوششی امنیتی پیوسته و بدون پایان می‌دهد که مکمل ممیزی‌های ساخت‌یافته است.

bug bounty چگونه کار می‌کند

ساختار برنامه

برنامه bug bounty چند عنصر کلیدی را تعریف می‌کند:

• دامنه (scope) — کدام قراردادها، مخازن کد، فرانت‌اندها، APIها یا اجزای زیرساخت واجد شرایط ارسال گزارش‌اند. موارد خارج از دامنه صراحتاً کنار گذاشته می‌شوند تا از تلاش بیهوده و گزارش‌های نادرست جلوگیری شود.
• رده‌های شدت — آسیب‌پذیری‌ها بر اساس اثر طبقه‌بندی می‌شوند، معمولاً با مقیاسی مانند Critical، High، Medium و Low. هر رده بازه پاداش مشخصی دارد.
• مبالغ پاداش — پرداخت‌ها از چند صد دلار برای یافته‌های کم‌شدت تا صدها هزار دلار (یا بیشتر) برای آسیب‌پذیری‌های بحرانی که می‌توانند به از دست رفتن دارایی کاربران بینجامند، متغیر است. برخی پروتکل‌های بزرگ DeFi برای باگ‌های بحرانی پاداشی بیش از یک میلیون دلار پیشنهاد می‌دهند.
• قواعد تعامل — پژوهشگران باید از افشای مسئولانه پیروی کنند: گزارش خصوصی بدهند، از آسیب‌پذیری سوءاستفاده نکنند، پیش از استقرار اصلاحیه علنی نکنند و روی mainnet با دارایی واقعی کاربران آزمایش نکنند. نقض این قواعد معمولاً گزارش را از دور خارج می‌کند.

ارسال و بررسی اولیه

وقتی پژوهشگری آسیب‌پذیری بالقوه‌ای کشف می‌کند، گزارشی مفصل از طریق پلتفرم bug bounty یا مستقیم به پروژه ارسال می‌کند. گزارش شامل توصیف آسیب‌پذیری، اثبات مفهوم (proof of concept) برای نمایش اکسپلویت، برآورد اثر و در صورت امکان پیشنهاد اصلاح است.

تیم امنیتی پروژه (یا تیم بررسی پلتفرم bug bounty) گزارش را بازبینی می‌کند، یافته را اعتبارسنجی می‌کند، شدت آن را می‌سنجد و پاداش مناسب را تعیین می‌کند. این فرایند بسته به پیچیدگی مسئله می‌تواند از چند روز تا چند هفته طول بکشد. پس از تأیید و رفع آسیب‌پذیری، پژوهشگر پاداش می‌گیرد و یافته ممکن است (با رضایت پژوهشگر) علنی شود تا اعتماد و دانش جامعه افزایش یابد.

پلتفرم‌های bug bounty

چند پلتفرم در مدیریت برنامه‌های bug bounty برای پروژه‌های بلاکچینی تخصص دارند:

• Immunefi — پلتفرم غالب برای bug bounty حوزه DeFi و بلاکچین، میزبان برنامه‌های پروتکل‌های بزرگ با برخی از بزرگ‌ترین صندوق‌های پاداش صنعت.
• HackerOne و Bugcrowd — پلتفرم‌های عمومی bug bounty که برخی پروژه‌های کریپتو نیز، به‌ویژه برای امنیت اپلیکیشن وب و زیرساخت، از آن‌ها استفاده می‌کنند.

این پلتفرم‌ها مدیریت ارسال‌ها، پشتیبانی بررسی اولیه و پردازش پرداخت را بر عهده دارند و لایه اعتمادی میان پژوهشگران و پروژه‌ها فراهم می‌کنند. آن‌ها همچنین جدول رده‌بندی عمومی و سامانه اعتبار برای پژوهشگران نگه می‌دارند.

چرا bug bounty برای پروژه‌های کریپتو AI اهمیت دارد

پوشش امنیتی پیوسته

ممیزی قرارداد هوشمند بازبینی‌ای در یک نقطه زمانی است — کد را همان‌طور که در لحظه‌ای مشخص وجود دارد بررسی می‌کند. پس از ممیزی، کد ممکن است تغییر کند، قراردادهای جدید مستقر شوند و پروتکل با سیستم‌های بیرونی تازه‌ای تعامل کند. bug bounty پوشش امنیتی مداوم می‌دهد: تا وقتی برنامه فعال است، پژوهشگران سراسر جهان انگیزه دارند در نسخه جاری و زنده کد آسیب‌پذیری پیدا کنند.

تنوع تخصص

هیچ تیم ممیزی به‌تنهایی نمی‌تواند همه بردارهای حمله ممکن را پوشش دهد. برنامه‌های bug bounty پژوهشگرانی با پیشینه‌ها، تخصص‌ها و دیدگاه‌های گوناگون جذب می‌کنند. برخی در حمله‌های reentrancy تخصص دارند، برخی در اکسپلویت‌های اقتصادی، برخی در آسیب‌پذیری‌های پل‌های بین‌زنجیره‌ای و برخی در زیرساخت offchain. این تنوع تخصص احتمال یافتن آسیب‌پذیری‌هایی را که یک تیم ممیزی ممکن است از قلم بیندازد افزایش می‌دهد.

هم‌راستایی انگیزه‌ها

bug bounty انگیزه مالی می‌سازد تا پژوهشگران آسیب‌پذیری‌ها را گزارش کنند، نه اینکه از آن‌ها سوءاستفاده کنند. در نبود bug bounty، پژوهشگری که نقصی بحرانی کشف می‌کند بر سر دوراهی است: آن را رایگان گزارش کند (یا در بهترین حالت با یک تشکر کوچک)، یا برای سود مالی بالقوه بزرگ از آن بهره‌برداری کند. یک bug bounty با بودجه مناسب این محاسبه را تغییر می‌دهد و افشای مسئولانه را گزینه سودآورتر می‌کند.

نشانه تعهد امنیتی

برای پروژه‌های فهرست‌شده در DecAIHub، برنامه bug bounty فعال با مبالغ پاداش معنادار نشان می‌دهد تیم امنیت را دغدغه‌ای مستمر می‌داند، نه چک‌باکسی یک‌باره. پروژه‌ای که هم ممیزی کامل‌شده و هم bug bounty فعال دارد رویکردی لایه‌ای به امنیت را نشان می‌دهد — بالغ‌ترین وضعیت موجود برای سیستم‌های مبتنی بر قرارداد هوشمند.

این موضوع در کارت‌های پروژه DecAIHub کجا دیده می‌شود

• فیلد Bug bounty (yes/no/—) — نشان می‌دهد پروژه برنامه bug bounty فعال دارد یا نه. لینک برنامه، پلتفرم (Immunefi، HackerOne و غیره) و شرایط در فیلدهای links_* و/یا جدول Evidence می‌آید.
• Evidence: Bug bounty — ردیفی از جدول شواهد که وجود برنامه فعال و لینک آن را ثبت می‌کند.
• بخش Security and incidents — بخشی از کارت که وضعیت bug bounty، ممیزی‌ها و مدل تهدید پروژه را ذکر می‌کند.

برنامه فعال با پاداش‌های قابل‌توجه، نشانه امنیتی قوی‌تری است تا برنامه‌ای با پرداخت‌های ناچیز یا نبود برنامه. ترکیب وضعیت ممیزی و وضعیت bug bounty به ارزیابی بلوغ امنیتی کلی زیرساخت onchain پروژه کمک می‌کند: پروژه‌های فاقد هر دو، ریسک بالاتری دارند؛ پروژه‌های دارای هر دو، بالغ‌ترین وضعیت امنیتی را نشان می‌دهند.

bug bounty به‌تنهایی چه چیزی را اثبات نمی‌کند

• نبود آسیب‌پذیری — bug bounty پژوهشگران را به یافتن باگ ترغیب می‌کند، اما نبود یافته گزارش‌شده اثبات امن بودن کد نیست. شاید کسی به‌اندازه کافی دقیق نگاه نکرده، دامنه خیلی محدود است یا پاداش‌ها برای جذب پژوهشگران برتر کافی نیست.
• کیفیت کد — bug bounty مکانیسمی واکنشی است. باگ‌ها را پس از پیدایش می‌گیرد، اما فرایند توسعه‌ای را که آن‌ها را تولید کرده بهبود نمی‌دهد. کد تمیز، تست کامل و معماری درست دغدغه‌های جداگانه‌اند.
• صرفاً امنیت onchain — بیشتر برنامه‌های bug bounty بر آسیب‌پذیری‌های قرارداد هوشمند و سطح پروتکل تمرکز دارند. ممکن است زیرساخت offchain، اپلیکیشن‌های فرانت‌اند، سرورهای API یا خطوط استنتاج AI را پوشش ندهند. تعریف دامنه تعیین می‌کند چه چیزی واقعاً پوشش داده می‌شود.
• توزیع منصفانه پاداش — اختلاف میان پژوهشگران و پروژه‌ها بر سر طبقه‌بندی شدت و مبلغ پاداش رخ می‌دهد. همه برنامه‌ها منصفانه اداره نمی‌شوند. اعتبار پلتفرم و سابقه پروژه در رسیدگی به گزارش‌ها اهمیت دارد.
• تمرکززدایی یا کیفیت حاکمیت — bug bounty مکانیسمی امنیتی است، نه ساختاری حاکمیتی. پروژه‌ای با برنامه bug bounty قوی همچنان می‌تواند کنترل کاملاً متمرکز، حاکمیت غیرشفاف یا کلیدهای ادمین متمرکز داشته باشد.

اشتباه نگیرید با

اصطلاح	تفاوت
ممیزی	ممیزی بازبینی ساخت‌یافته و زمان‌بندی‌شده کد توسط تیمی منتخب است. bug bounty دعوتی باز و مستمر است تا هر کس آسیب‌پذیری بیابد. ممیزی پیش‌دستانه است؛ bug bounty واکنشی و پیوسته است. این دو مکمل یکدیگرند.
افشای مسئولانه	افشای مسئولانه یعنی گزارش خصوصی آسیب‌پذیری به طرف متأثر پیش از انتشار عمومی. bug bounty برنامه‌ای است که افشای مسئولانه را با پاداش مالی تشویق می‌کند. همه افشاهای مسئولانه از طریق bug bounty رخ نمی‌دهند.
برنامه bounty (غیرامنیتی)	برخی پروژه‌ها برای کارهای غیرامنیتی — مستندسازی، ترجمه، جامعه‌سازی — bounty می‌دهند. bug bounty مشخصاً آسیب‌پذیری‌های امنیتی کد و زیرساخت را هدف می‌گیرد. واژه «bounty» به‌تنهایی می‌تواند مبهم باشد.

پرسش‌های متداول

bug bounty چه تفاوتی با ممیزی دارد؟

ممیزی تعاملی ساخت‌یافته و زمان‌بندی‌شده است که در آن تیمی منتخب از کارشناسان امنیت کد را نظام‌مند بازبینی می‌کند و گزارشی جامع می‌دهد. bug bounty دعوتی باز و مستمر است تا هر پژوهشگر واجد شرایطی آسیب‌پذیری بیابد و گزارش کند. ممیزی پیش‌دستانه و برنامه‌ریزی‌شده است؛ bug bounty واکنشی و پیوسته است. اهداف متفاوتی دارند و در کنار هم بیشترین اثربخشی را دارند.

چه چیزی یک برنامه bug bounty را اثربخش می‌کند؟

سه عامل اثربخشی را تعیین می‌کنند: دامنه (برنامه باید حیاتی‌ترین اجزا را پوشش دهد)، پاداش‌ها (پرداخت‌ها باید آن‌قدر بزرگ باشند که پژوهشگران ماهر را جذب کنند — به‌ویژه برای یافته‌های بحرانی) و پاسخ‌گویی (پروژه باید گزارش‌ها را سریع بررسی کند، شفاف ارتباط بگیرد و منصفانه بپردازد). برنامه‌ای با پاداش پایین، دامنه محدود یا شهرت ضعیف در بررسی، در جذب پژوهشگران جدی مشکل خواهد داشت.

آیا هر کسی می‌تواند در bug bounty شرکت کند؟

عموماً بله. بیشتر برنامه‌های bug bounty بلاکچینی برای هر کس که مهارت فنی شناسایی آسیب‌پذیری دارد باز است. پژوهشگران نیازی به گواهی رسمی یا وابستگی سازمانی ندارند — کیفیت گزارش است که اهمیت دارد. با این حال شرکت‌کنندگان باید قواعد برنامه را رعایت کنند: افشای مسئولانه، عدم سوءاستفاده از آسیب‌پذیری و عدم آزمایش روی mainnet با دارایی واقعی کاربران. افراد یا نهادهای تحریم‌شده ممکن است به دلایل انطباق قانونی کنار گذاشته شوند.

منابع خارجی

• Immunefi — Bug Bounty Platform — پلتفرم پیشرو bug bounty برای پروژه‌های DeFi و بلاکچین، میزبان برنامه‌هایی با برخی از بزرگ‌ترین صندوق‌های پاداش صنعت.

همچنین ببینید

• ممیزی قرارداد هوشمند چیست
• قرارداد هوشمند چیست
• کلیدهای ادمین چیست
• بلاکچین چیست