Die Wut über die magere Belohnung für Sicherheitsforscher bricht aus, als Circle die Türen zum Testnetzwerk von Arc öffnet
Circle steht in der Kritik, nachdem es in seinem Bug-Bounty-Programm im Zusammenhang mit Arc, einer öffentlichen Layer-1-Blockchain, eine maximale Belohnung von 5.000 US-Dollar für kritische Schwachstellen festgelegt hat. Die Auszahlungsobergrenze erregte Aufmerksamkeit, als das Unternehmen seinen Testnet-Code und seine Node-Software zur öffentlichen Überprüfung öffnete.
Arc wird als wirtschaftliches Betriebssystem für das Internet beschrieben. Die Plattform ist darauf ausgelegt, Stablecoins, tokenisierte Vermögenswerte und globale Märkte auf einer gemeinsamen Infrastruktur zu unterstützen. Das Programm kommt, während Arc sich dem Mainnet nähert.
Arc Bug Bounty von Circle wird wegen der Auszahlungsobergrenze kritisiert
Der Blockchain-Ermittler ZachXBT kritisierte die Auszahlungsstruktur in einem Beitrag auf
Circle sagte, die Kampagne solle die externe Überprüfung vor dem Start erweitern. Die Forscher wurden aufgefordert, nach reproduzierbaren Erkenntnissen zu suchen, die sich auf die Sicherheit, Lebendigkeit, Korrektheit oder Zuverlässigkeit des Netzwerks auswirken könnten.
Die schärfste Reaktion konzentrierte sich auf die oberste Prämienstufe. Das Programm bietet zwischen 3.000 und 5.000 US-Dollar für kritische Ergebnisse. Kritische Meldungen machen 6,90 % aller in der Prämientabelle aufgeführten Einsendungen aus.
Bei Problemen mit hohem Schweregrad sind Auszahlungen in Höhe von 800 bis 3.000 US-Dollar möglich. Auf diese Kategorie entfallen auch 6,90 % der Einreichungen. In der Tabelle sind keine durchschnittlichen Prämien für hohe oder kritische Berichte aufgeführt.
Befunde mittlerer Schwere bieten Belohnungen von 400 bis 800 US-Dollar. Dies ist mit 44,83 % der größte Anteil der Einreichungen. Meldungen mit geringem Schweregrad liegen zwischen 150 und 400 US-Dollar und machen 41,38 % der gesamten Einreichungen aus.
Die Plattform legt Zeitpläne und Regeln für Prämien fest
Circle sagte, es sei das Ziel, innerhalb von fünf Werktagen nach Einreichung einer Meldung eine erste Antwort zu senden. Das Programm legt die Triage auf 10 Werktage nach der Einreichung fest. Es heißt auch, dass Kopfgeldentscheidungen innerhalb von 10 Werktagen nach der Triage getroffen werden.
Das Unternehmen sagte, die Lösungszeit hänge von der Schwere und Komplexität des jeweiligen Falles ab. Es erfordert außerdem eine Schwachstelle pro Bericht, es sei denn, eine Verkettung ist erforderlich, um die Auswirkungen anzuzeigen. Wenn doppelte Meldungen eingereicht werden, kommt nur die erste vollständig reproduzierbare Meldung für eine Belohnung in Frage.
Circle sagte, dass mehrere Fehler, die mit einer Grundursache zusammenhängen, als ein einziger Kopfgeldfall behandelt würden. Das Programm ist auf Teilnehmer ab 18 Jahren beschränkt. Es erfordert auch die Einhaltung geltender Gesetze und Vorschriften.
Das Unternehmen schließt seine Mitarbeiter und deren unmittelbare Familienangehörige vom Programm aus. Es verbietet auch Einwohner von Gerichtsbarkeiten, die einem US-Embargo unterliegen, und Personen, die auf Sperrlisten stehen. Durch die Einreichung eines Berichts gewähren die Teilnehmer Circle und seinen verbundenen Unternehmen weitreichende Rechte zur Nutzung und Weitergabe der Einreichung.
Verwandt: Circle stellt Post-Quantum-Roadmap für Arc Blockchain vor