Bug-Bounty-Programm

Ein Bug-Bounty-Programm ist ein dauerhaftes Angebot, externe Forscher für die vertrauliche Meldung von Schwachstellen zu bezahlen, gestaffelt nach Schweregrad und geregelt durch eine veröffentlichte Richtlinie, die festlegt, was im Geltungsbereich liegt, wie zu melden ist und was der Forscher beim Testen tun darf. In der Kryptowelt schließt es eine Lücke, die Audits nicht schließen können: Ein Audit ist ein begrenzter Auftrag gegen einen festen Codestand, während ein Bounty fortlaufend gegen das laufende System arbeitet, einschließlich der Teile, die sich nach Abschluss des Audits geändert haben. Die Schlagzeilenzahl ist der am wenigsten aussagekräftige Teil davon. Lesen Sie zuerst den Geltungsbereich: Ein Programm, das nur eine Marketing-Website abdeckt, während die Bridge-Verträge und der Signaturpfad für Auszahlungen außen vor bleiben, schützt nicht das, was Ihr Geld kosten kann. Lesen Sie dann die Safe-Harbour-Klausel, also das Versprechen, gegen einen regelkonform arbeitenden Forscher nicht rechtlich vorzugehen; ohne sie haben gerade jene Forscher, die die ernsten Fehler finden könnten, allen Grund fernzubleiben. Suchen Sie danach nach Belegen, dass tatsächlich gezahlt wird: veröffentlichte Auszahlungssummen, Zahlen erledigter Meldungen oder ein Eintrag auf einer Plattform, die Offenlegungen dokumentiert. Eine hohe Höchstprämie mit engem Geltungsbereich, ohne Safe Harbour und ohne Zahlungsnachweis ist eine Marketingzeile. Eine bescheidene Höchstprämie mit breitem Geltungsbereich, klaren Regeln und sichtbarer Historie ist eine funktionierende Kontrolle.