O que é um bug bounty
Nota: Este documento é uma tradução automática da versão original em inglês.
O que é um bug bounty
Um bug bounty é um programa no qual um projeto oferece recompensas financeiras a pesquisadores de segurança independentes que descobrem e divulgam de forma responsável vulnerabilidades em seu código. Em vez de depender apenas de uma equipe interna ou de um auditor contratado, um bug bounty abre a busca por bugs para a comunidade global de segurança — qualquer pessoa com as habilidades necessárias pode participar, e o projeto paga somente quando vulnerabilidades válidas são encontradas.
Pense em um bug bounty como contratar uma multidão de chaveiros para testar todas as fechaduras do seu prédio, com uma oferta permanente: se alguém encontrar uma fechadura que possa ser arrombada, recebe o pagamento. Você não paga a menos que uma falha real seja encontrada, e os chaveiros têm motivação para procurar com mais afinco porque a recompensa é proporcional à gravidade do que encontram. Em cripto, o mesmo princípio se aplica ao código de smart contracts, à lógica de protocolos e à segurança da infraestrutura.
Em resumo: um bug bounty é um programa de segurança colaborativo (crowdsourced) que paga pesquisadores independentes por encontrar e reportar vulnerabilidades — ele oferece cobertura de segurança contínua e aberta que complementa auditorias estruturadas.
Como funciona um bug bounty
Estrutura do programa
Um programa de bug bounty define vários elementos-chave:
- Escopo — quais contratos, repositórios de código, frontends, APIs ou componentes de infraestrutura são elegíveis para submissões. Itens fora de escopo são explicitamente excluídos para evitar esforço desperdiçado e relatórios falsos.
- Níveis de gravidade — as vulnerabilidades são classificadas por impacto, normalmente usando uma escala como Critical, High, Medium e Low. Cada nível tem uma faixa de recompensa definida.
- Valores das recompensas — os pagamentos variam de algumas centenas de dólares para achados de baixa gravidade a centenas de milhares (ou mais) para vulnerabilidades críticas que poderiam levar à perda de fundos de usuários. Alguns grandes protocolos DeFi oferecem recompensas que ultrapassam um milhão de dólares por bugs críticos.
- Regras de engajamento — os pesquisadores devem seguir práticas de divulgação responsável: reportar de forma privada, não explorar a vulnerabilidade, não divulgar publicamente antes que a correção seja implantada e não testar na mainnet com fundos reais de usuários. Violar essas regras normalmente desqualifica uma submissão.
Submissão e triagem
Quando um pesquisador descobre uma vulnerabilidade potencial, ele submete um relatório detalhado por meio da plataforma de bug bounty ou diretamente ao projeto. O relatório inclui uma descrição da vulnerabilidade, uma prova de conceito demonstrando a exploração, o impacto estimado e uma sugestão de correção, se aplicável.
A equipe de segurança do projeto (ou a equipe de triagem da plataforma de bug bounty) analisa a submissão, valida o achado, avalia sua gravidade e determina a recompensa apropriada. Esse processo pode levar de dias a semanas, dependendo da complexidade do problema. Uma vez confirmada e corrigida a vulnerabilidade, o pesquisador recebe o pagamento e o achado pode ser divulgado publicamente (com o consentimento do pesquisador) para construir confiança e conhecimento na comunidade.
Plataformas de bug bounty
Várias plataformas se especializam em gerenciar programas de bug bounty para projetos de blockchain:
- Immunefi — a plataforma dominante para bug bounties de DeFi e blockchain, hospedando programas para grandes protocolos com alguns dos maiores fundos de recompensa do setor.
- HackerOne e Bugcrowd — plataformas de bug bounty de uso geral também utilizadas por alguns projetos de cripto, particularmente para segurança de aplicações web e infraestrutura.
Essas plataformas cuidam do gerenciamento de submissões, do suporte à triagem, do processamento de pagamentos e fornecem uma camada de confiança entre pesquisadores e projetos. Elas também mantêm rankings públicos e sistemas de reputação para os pesquisadores.
Por que bug bounties importam para projetos de cripto IA
Cobertura de segurança contínua
Uma auditoria de smart contract é uma análise pontual — examina o código tal como ele existe em um momento específico. Após a auditoria, o código pode mudar, novos contratos podem ser implantados e o protocolo pode interagir com novos sistemas externos. Um bug bounty oferece cobertura de segurança contínua: enquanto o programa estiver ativo, pesquisadores de todo o mundo têm incentivo para encontrar vulnerabilidades na versão atual e ativa do código.
Expertise diversa
Nenhuma equipe de auditoria isolada consegue cobrir todos os vetores de ataque possíveis. Programas de bug bounty atraem pesquisadores com formações, especializações e perspectivas diversas. Alguns se especializam em ataques de reentrância, outros em explorações econômicas, outros em vulnerabilidades de bridges cross-chain e outros em infraestrutura offchain. Essa diversidade de expertise aumenta a probabilidade de encontrar vulnerabilidades que uma única equipe de auditoria poderia deixar passar.
Alinhamento de incentivos
Bug bounties criam um incentivo financeiro para que os pesquisadores reportem vulnerabilidades em vez de explorá-las. Na ausência de um bug bounty, um pesquisador que descobre uma falha crítica enfrenta uma escolha: reportá-la gratuitamente (ou, na melhor das hipóteses, por um pequeno agradecimento) ou explorá-la em busca de um ganho financeiro potencialmente grande. Um bug bounty bem financiado muda esse cálculo ao tornar a divulgação responsável a opção mais lucrativa.
Sinal de compromisso com a segurança
Para projetos listados no DecAIHub, um programa de bug bounty ativo com valores de recompensa significativos sinaliza que a equipe trata a segurança como uma preocupação contínua, não como um item de checklist único. Um projeto que tem tanto uma auditoria concluída quanto um bug bounty ativo demonstra uma abordagem em camadas para a segurança — a postura mais madura disponível para sistemas baseados em smart contracts.
Onde isso aparece nos cartões de projeto do DecAIHub
- Campo
Bug bounty(yes/no/—) — indica se o projeto mantém um programa de bug bounty ativo. Links para o programa, a plataforma (Immunefi, HackerOne etc.) e os termos vão nos camposlinks_*e/ou na tabela de Evidence. - Evidence:
Bug bounty— a linha na tabela de evidências que registra a existência de um programa ativo e um link para ele. - Seção
Security and incidents— a parte do cartão que registra o status do bug bounty, as auditorias e o modelo de ameaças do projeto.
Um programa ativo com recompensas substanciais é um sinal de segurança mais forte do que um programa com pagamentos mínimos ou nenhum programa. A combinação de status de auditoria e status de bug bounty ajuda a avaliar a maturidade geral de segurança da infraestrutura onchain de um projeto: projetos sem nenhum dos dois representam risco mais alto; projetos com ambos representam a postura de segurança mais madura.
O que um bug bounty sozinho não comprova
- Ausência de vulnerabilidades — um bug bounty incentiva os pesquisadores a encontrar bugs, mas a ausência de achados reportados não prova que o código é seguro. Pode significar que ninguém olhou com profundidade suficiente, que o escopo é estreito demais ou que as recompensas são insuficientes para atrair os melhores pesquisadores.
- Qualidade do código — um bug bounty é um mecanismo reativo. Ele captura bugs depois que eles existem, mas não melhora o processo de desenvolvimento que os produziu. Código limpo, testes rigorosos e arquitetura sólida são preocupações separadas.
- Segurança onchain exclusivamente — a maioria dos programas de bug bounty foca em vulnerabilidades de smart contracts e de nível de protocolo. Eles podem não cobrir infraestrutura offchain, aplicações frontend, servidores de API ou pipelines de inferência de IA. A definição de escopo determina o que está realmente coberto.
- Distribuição justa de recompensas — disputas entre pesquisadores e projetos sobre classificações de gravidade e valores de recompensa ocorrem. Nem todos os programas são geridos de forma justa. A reputação da plataforma e o histórico do projeto no tratamento de submissões importam.
- Descentralização ou qualidade de governança — um bug bounty é um mecanismo de segurança, não uma estrutura de governança. Um projeto com um forte programa de bug bounty ainda pode ter controle totalmente centralizado, governança opaca ou admin keys concentradas.
Não confundir com
| Termo | Distinção |
|---|---|
| Auditoria | Uma auditoria é uma análise de código estruturada e com prazo definido, feita por uma equipe selecionada. Um bug bounty é um convite aberto e contínuo para que qualquer pessoa encontre vulnerabilidades. Auditorias são proativas; bug bounties são reativos e contínuos. Eles se complementam. |
| Divulgação responsável | A divulgação responsável é a prática de reportar de forma privada uma vulnerabilidade à parte afetada antes de publicá-la. Um bug bounty é um programa que incentiva a divulgação responsável com recompensas financeiras. Nem toda divulgação responsável acontece por meio de bug bounties. |
| Programa de recompensas (não relacionado à segurança) | Alguns projetos oferecem recompensas para tarefas não relacionadas à segurança — documentação, traduções, construção de comunidade. Um bug bounty visa especificamente vulnerabilidades de segurança em código e infraestrutura. O termo "bounty" sozinho pode ser ambíguo. |
Perguntas frequentes
Como um bug bounty difere de uma auditoria?
Uma auditoria é um engajamento estruturado e com prazo definido, no qual uma equipe selecionada de especialistas em segurança revisa o código sistematicamente e produz um relatório abrangente. Um bug bounty é um convite aberto e contínuo para que qualquer pesquisador qualificado encontre e reporte vulnerabilidades. Auditorias são proativas e planejadas; bug bounties são reativos e contínuos. Eles servem a propósitos diferentes e são mais eficazes quando usados em conjunto.
O que torna um programa de bug bounty eficaz?
Três fatores determinam a eficácia: escopo (o programa deve cobrir os componentes mais críticos), recompensas (os pagamentos devem ser grandes o suficiente para atrair pesquisadores qualificados — particularmente para achados de gravidade crítica) e responsividade (o projeto deve fazer a triagem das submissões prontamente, comunicar-se de forma transparente e pagar de maneira justa). Um programa com recompensas baixas, escopo estreito ou má reputação de triagem terá dificuldade em atrair pesquisadores sérios.
Qualquer pessoa pode participar de um bug bounty?
Geralmente, sim. A maioria dos programas de bug bounty de blockchain é aberta a qualquer pessoa com as habilidades técnicas para identificar vulnerabilidades. Os pesquisadores não precisam de certificações ou afiliações formais — o que importa é a qualidade da submissão. No entanto, os participantes devem seguir as regras do programa: divulgação responsável, não exploração da vulnerabilidade e nenhum teste na mainnet com fundos reais de usuários. Indivíduos ou entidades sob sanções podem ser excluídos por razões de conformidade legal.
Referências externas
- Immunefi — Bug Bounty Platform — a principal plataforma de bug bounty para projetos de DeFi e blockchain, hospedando programas com alguns dos maiores fundos de recompensa do setor.
No comments to display
No comments to display