Apakah itu bug bounty
Nota: Dokumen ini adalah terjemahan automatik daripada versi asal bahasa Inggeris.
Apakah itu bug bounty
Bug bounty ialah program di mana sesebuah projek menawarkan ganjaran kewangan kepada penyelidik keselamatan bebas yang menemui dan mendedahkan kelemahan dalam kodnya secara bertanggungjawab. Daripada bergantung semata-mata pada pasukan dalaman atau juruaudit yang diupah, bug bounty membuka pencarian pepijat kepada komuniti keselamatan global — sesiapa sahaja yang berkemahiran boleh menyertai, dan projek hanya membayar apabila kelemahan yang sah ditemui.
Bayangkan bug bounty seperti mengupah sekumpulan tukang kunci untuk menguji setiap kunci di bangunan anda, dengan tawaran tetap: jika sesiapa menjumpai kunci yang boleh dibuka paksa, mereka dibayar. Anda tidak membayar melainkan kecacatan sebenar ditemui, dan tukang kunci bermotivasi untuk mencari dengan lebih teliti kerana ganjaran adalah berkadar dengan keterukan penemuan mereka. Dalam kripto, prinsip yang sama terpakai pada kod kontrak pintar, logik protokol, dan keselamatan infrastruktur.
Ringkasnya: bug bounty ialah program keselamatan sumber ramai yang membayar penyelidik bebas kerana menemui dan melaporkan kelemahan — ia menyediakan liputan keselamatan berterusan dan terbuka yang melengkapi audit berstruktur.
Bagaimana bug bounty berfungsi
Struktur program
Program bug bounty mentakrifkan beberapa elemen utama:
- Skop — kontrak, repositori kod, frontend, API, atau komponen infrastruktur mana yang layak untuk penyerahan. Item di luar skop dikecualikan secara eksplisit untuk mengelakkan usaha yang sia-sia dan laporan palsu.
- Peringkat keterukan — kelemahan diklasifikasikan mengikut impak, biasanya menggunakan skala seperti Critical, High, Medium, dan Low. Setiap peringkat mempunyai julat ganjaran yang ditetapkan.
- Jumlah ganjaran — bayaran berjulat daripada beberapa ratus dolar untuk penemuan keterukan rendah hingga ratusan ribu (atau lebih) untuk kelemahan kritikal yang boleh menyebabkan kehilangan dana pengguna. Sesetengah protokol DeFi utama menawarkan ganjaran melebihi satu juta dolar untuk pepijat kritikal.
- Peraturan penglibatan — penyelidik mesti mengikuti amalan pendedahan bertanggungjawab: melapor secara peribadi, tidak mengeksploitasi kelemahan, tidak mendedahkan secara terbuka sebelum pembetulan digunakan, dan tidak menguji di mainnet dengan dana pengguna sebenar. Melanggar peraturan ini biasanya membatalkan kelayakan penyerahan.
Penyerahan dan triaj
Apabila penyelidik menemui kelemahan yang berpotensi, mereka menghantar laporan terperinci melalui platform bug bounty atau terus kepada projek. Laporan itu merangkumi penerangan kelemahan, bukti konsep yang menunjukkan eksploit, anggaran impak, dan cadangan pembetulan jika berkenaan.
Pasukan keselamatan projek (atau pasukan triaj platform bug bounty) menyemak penyerahan, mengesahkan penemuan, menilai keterukannya, dan menentukan ganjaran yang sesuai. Proses ini boleh mengambil masa beberapa hari hingga beberapa minggu bergantung pada kerumitan isu. Setelah kelemahan disahkan dan dibetulkan, penyelidik menerima bayaran dan penemuan itu mungkin didedahkan secara terbuka (dengan persetujuan penyelidik) untuk membina kepercayaan dan pengetahuan komuniti.
Platform bug bounty
Beberapa platform pakar dalam mengurus program bug bounty untuk projek blockchain:
- Immunefi — platform dominan untuk bug bounty DeFi dan blockchain, menganjurkan program untuk protokol utama dengan antara kumpulan ganjaran terbesar dalam industri.
- HackerOne dan Bugcrowd — platform bug bounty tujuan umum yang turut digunakan oleh sesetengah projek kripto, terutamanya untuk keselamatan aplikasi web dan infrastruktur.
Platform ini mengendalikan pengurusan penyerahan, sokongan triaj, pemprosesan pembayaran, dan menyediakan lapisan kepercayaan antara penyelidik dan projek. Ia juga mengekalkan papan pendahulu awam dan sistem reputasi untuk penyelidik.
Mengapa bug bounty penting untuk projek AI kripto
Liputan keselamatan berterusan
Audit kontrak pintar ialah semakan pada satu titik masa — ia memeriksa kod sebagaimana wujud pada saat tertentu. Selepas audit, kod mungkin berubah, kontrak baharu mungkin digunakan, dan protokol mungkin berinteraksi dengan sistem luaran baharu. Bug bounty menyediakan liputan keselamatan berterusan: selagi program aktif, penyelidik di seluruh dunia diberi insentif untuk mencari kelemahan dalam versi kod semasa yang sedang beroperasi.
Kepakaran pelbagai
Tiada satu pasukan audit pun boleh merangkumi setiap vektor serangan yang mungkin. Program bug bounty menarik penyelidik dengan latar belakang, pengkhususan, dan perspektif yang pelbagai. Ada yang pakar dalam serangan reentrancy, ada dalam eksploit ekonomi, ada dalam kelemahan jambatan cross-chain, dan ada dalam infrastruktur offchain. Kepelbagaian kepakaran ini meningkatkan kebarangkalian menemui kelemahan yang mungkin terlepas pandang oleh satu pasukan audit.
Penjajaran insentif
Bug bounty mewujudkan insentif kewangan untuk penyelidik melaporkan kelemahan dan bukannya mengeksploitasinya. Tanpa bug bounty, penyelidik yang menemui kecacatan kritikal berhadapan dengan pilihan: melaporkannya secara percuma (atau paling baik, ucapan terima kasih kecil), atau mengeksploitasinya untuk keuntungan kewangan yang berpotensi besar. Bug bounty yang dibiayai dengan baik mengubah kiraan ini dengan menjadikan pendedahan bertanggungjawab pilihan yang lebih menguntungkan.
Isyarat komitmen keselamatan
Untuk projek yang disenaraikan dalam DecAIHub, program bug bounty aktif dengan jumlah ganjaran yang bermakna menandakan pasukan melayan keselamatan sebagai kebimbangan berterusan, bukan senarai semak sekali sahaja. Projek dengan audit yang lengkap dan bug bounty yang aktif menunjukkan pendekatan keselamatan berlapis — postur paling matang yang ada untuk sistem berasaskan kontrak pintar.
Di mana ini muncul dalam kad projek DecAIHub
- Medan
Bug bounty(yes/no/—) — menunjukkan sama ada projek mengekalkan program bug bounty yang aktif. Pautan ke program, platform (Immunefi, HackerOne, dsb.), dan terma diletakkan dalam medanlinks_*dan/atau jadual Evidence. - Evidence:
Bug bounty— baris dalam jadual evidence yang merekodkan kewujudan program aktif dan pautan kepadanya. - Bahagian
Security and incidents— bahagian kad yang mencatat status bug bounty, audit, dan model ancaman projek.
Program aktif dengan ganjaran yang besar ialah isyarat keselamatan yang lebih kuat berbanding program dengan bayaran minimum atau tiada program langsung. Gabungan status audit dan status bug bounty membantu menilai kematangan keselamatan keseluruhan infrastruktur onchain projek: projek tanpa kedua-duanya mewakili risiko lebih tinggi; projek dengan kedua-duanya mewakili postur keselamatan paling matang.
Apa yang bug bounty semata-mata tidak buktikan
- Ketiadaan kelemahan — bug bounty memberi insentif kepada penyelidik untuk mencari pepijat, tetapi ketiadaan penemuan yang dilaporkan tidak membuktikan kod itu selamat. Ia mungkin bermakna tiada sesiapa yang meneliti dengan cukup dekat, skopnya terlalu sempit, atau ganjaran tidak mencukupi untuk menarik penyelidik terbaik.
- Kualiti kod — bug bounty ialah mekanisme reaktif. Ia menangkap pepijat selepas ia wujud, tetapi tidak menambah baik proses pembangunan yang menghasilkannya. Kod yang bersih, ujian menyeluruh, dan seni bina yang mantap adalah perkara yang berasingan.
- Keselamatan onchain secara eksklusif — kebanyakan program bug bounty menumpukan pada kelemahan kontrak pintar dan peringkat protokol. Ia mungkin tidak merangkumi infrastruktur offchain, aplikasi frontend, pelayan API, atau saluran inferens AI. Takrifan skop menentukan apa yang sebenarnya diliputi.
- Pengagihan ganjaran yang adil — pertikaian antara penyelidik dan projek mengenai klasifikasi keterukan dan jumlah ganjaran memang berlaku. Tidak semua program diurus secara adil. Reputasi platform dan rekod projek dalam mengendalikan penyerahan adalah penting.
- Desentralisasi atau kualiti tadbir urus — bug bounty ialah mekanisme keselamatan, bukan struktur tadbir urus. Projek dengan program bug bounty yang kukuh masih boleh mempunyai kawalan yang terpusat sepenuhnya, tadbir urus yang legap, atau kunci admin yang tertumpu.
Jangan kelirukan dengan
| Istilah | Perbezaan |
|---|---|
| Audit | Audit ialah semakan kod berstruktur dan terhad masa oleh pasukan terpilih. Bug bounty ialah jemputan terbuka dan berterusan untuk sesiapa sahaja mencari kelemahan. Audit bersifat proaktif; bug bounty bersifat reaktif dan berterusan. Kedua-duanya saling melengkapi. |
| Pendedahan bertanggungjawab | Pendedahan bertanggungjawab ialah amalan melaporkan kelemahan secara peribadi kepada pihak yang terjejas sebelum menerbitkannya. Bug bounty ialah program yang memberi insentif kepada pendedahan bertanggungjawab dengan ganjaran kewangan. Tidak semua pendedahan bertanggungjawab berlaku melalui bug bounty. |
| Program bounty (bukan keselamatan) | Sesetengah projek menawarkan bounty untuk tugasan bukan keselamatan — dokumentasi, terjemahan, pembinaan komuniti. Bug bounty secara khusus menyasarkan kelemahan keselamatan dalam kod dan infrastruktur. Istilah "bounty" sahaja boleh menjadi kabur. |
Soalan lazim
Apakah perbezaan bug bounty dengan audit?
Audit ialah penglibatan berstruktur dan terhad masa di mana pasukan pakar keselamatan terpilih menyemak kod secara sistematik dan menghasilkan laporan yang komprehensif. Bug bounty ialah jemputan terbuka dan berterusan untuk mana-mana penyelidik yang berkelayakan menemui dan melaporkan kelemahan. Audit bersifat proaktif dan terancang; bug bounty bersifat reaktif dan berterusan. Kedua-duanya memenuhi tujuan berbeza dan paling berkesan apabila digunakan bersama.
Apakah yang menjadikan program bug bounty berkesan?
Tiga faktor menentukan keberkesanan: skop (program mesti merangkumi komponen paling kritikal), ganjaran (bayaran mesti cukup besar untuk menarik penyelidik mahir — terutamanya untuk penemuan keterukan kritikal), dan responsif (projek mesti mentriaj penyerahan dengan segera, berkomunikasi secara telus, dan membayar dengan adil). Program dengan ganjaran rendah, skop sempit, atau reputasi triaj yang buruk akan sukar menarik penyelidik yang serius.
Bolehkah sesiapa sahaja menyertai bug bounty?
Secara umumnya, ya. Kebanyakan program bug bounty blockchain terbuka kepada sesiapa sahaja yang mempunyai kemahiran teknikal untuk mengenal pasti kelemahan. Penyelidik tidak memerlukan pensijilan atau afiliasi formal — kualiti penyerahan mereka yang penting. Walau bagaimanapun, peserta mesti mengikut peraturan program: pendedahan bertanggungjawab, tiada eksploitasi kelemahan, dan tiada ujian di mainnet dengan dana pengguna sebenar. Individu atau entiti yang disekat mungkin dikecualikan atas sebab pematuhan undang-undang.
Rujukan luaran
- Immunefi — Bug Bounty Platform — platform bug bounty terkemuka untuk projek DeFi dan blockchain, menganjurkan program dengan antara kumpulan ganjaran terbesar dalam industri.
No comments to display
No comments to display