Moonbeam Bug Program 漏洞赏金计划

最新推荐文章于 2025-08-15 15:39:02 发布
转载 最新推荐文章于 2025-08-15 15:39:02 发布 · 394 阅读 · 0 ·
CC 4.0 BY-SA版权
原文链接：https://mp.weixin.qq.com/s/qexQavokzRKtPsGDBRVIrw
文章标签：

#区块链

Moonbeam Bug Program 漏洞赏金计划主要针对 Moonriver 和 Moonbeam 平行链，以及生态内的 DApps，主要目的是为了防止：本金的盗窃和冻结、未结算收益的盗窃和冻结、治理资金的盗窃、治理活动的中断、网络关闭、网站瘫痪、用户数据泄露、用户数据删除、未经授权访问敏感网页。

参与须知：网站或应用程序的漏洞报告需附带PoC才有机会获奖。经团队决定，智能合约的漏洞报告可能需要附带一个PoC，目的是为确定该漏洞的确存在，必要情况下还能计算该漏洞被利用后可能造成的损害程度。关键级漏洞的上限是经济损失的10%，主要考量因素除了公关和品牌影响之外，还有资金影响。关键级漏洞的下限是75000美元。

参与入口：https://bugs.immunefi.com/

KYC 需求：Moonbeam 基金会要求所有赏金计划的参与者进行 KYC 验证，提交身份证扫描件和自拍照。

赏金支付：赏金由 Moonbeam 基金会直接支付，支付形式为USDT 或 USDC。

注意：同时适用于 Moonbeam 和 Moonriver 网络的漏洞报告将视为同一份报告，只支付一次赏金。

​

赏金分类依据

赏金分类的依据是基于 Immunefi 漏洞严重程度分类系统的漏洞影响。Immunefi 是一个用于智能合约和加密货币项目的漏洞赏金平台。其漏洞严重程度分类系统是一个简化的 5 级标准，将漏洞按严重程度分为 5 类：关键级、高级、中级、低级、零级漏洞。其对网站与应用程序、智能合约与区块链有单独的标准，内容包含漏洞后果、所需特权、漏洞成功利用的可能性。该平台使安全研究人员能够审查代码、披露漏洞并获得报酬，并允许公司利用领先的安全人才来保护他们的项目。

赏金分类

赏金分为智能合约、区块链、网络和应用程序四个类别。各类别奖金分别为以下级别：

智能合约和区块链类奖金共有4个级别：

  • 赏金高达 1 百万美元的关键级；

  • 7.5 万美元的高级；

  • 2 万美元的中级；

  • 5 千美元的低级。

网络和应用程序类奖金共有4个级别：

  • 赏金高达 1.5 万美元的关键级；

  • 7500 美元的高级；

  • 2500 美元的中级；

  • 1000 美元的低级。

范围内的资产

Kusama 上的 Moonriver 平行链和 Polkadot 上的 Moonbeam 平行链都包括在资产范围内。

点击此链接 https://github.com/PureStake/，获取 Moonbeam 的所有源代码。

漏洞赏金计划范围内的影响

1、智能合约和区块链方面，本漏洞赏金计划接受的影响仅包含：因永久冻结或直接盗窃导致的用户资金损失；治理资金的损失；无人认领的收益的盗窃；冻结无人认领的收益；至少持续15分钟的资金暂时冻结；暂时无法调用智能合约；网络关闭；智能合约手续费流失；由于底层平行链内的缺陷或漏洞，智能合约无法交付承诺的收益；治理活动中断；操纵投票；不正确的投票行动；绕过外在验证（Origin 绕过或升级)；违反 Runtime 共识（将无效区块纳入规范）。

2、网络和应用程序方面，本漏洞赏金计划接受的影响仅包含：用户数据泄漏；用户数据删除；通过修改地址重新引导资金；用户欺骗其他用户；通过逻辑攻击和对不正常的服务进行慢速滚动攻击方式拒绝服务。

Moonbeam GitHub repo

区块链 - Moonbeam
https://github.com/PureStake/moonbeam

区块链 - Nimbus
https://github.com/PureStake/nimbus

区块链 - Crowdloan Rewards
https://github.com/PureStake/crowdloan-rewards

区块链 - Frontier
https://github.com/paritytech/frontier

区块链 - RPC 基础设施 (Moonriver)
https://github.com/ethereum-lists/chains/blob/master/_data/chains/eip155-1285.json  

区块链 - RPC 基础设施 (Moonbase Alpha)
https://github.com/ethereum-lists/chains/blob/master/_data/chains/eip155-1287.json 

区块链 - RPC 基础设施 (Moonbeam)
https://github.com/ethereum-lists/chains/blob/master/_data/chains/eip155-1287.json 

网络/应用程序  
https://apps.moonbeam.network

网络/应用程序  
https://crowdloan.moonbeam.foundation/

网络/应用程序  
https://moonbeam.network/

网络/应用程序  
https://moonbeam.foundation/

优先考虑的漏洞

1、智能合约和区块链方面，优先考虑重入性；逻辑错误（包括用户认证错误）；不考虑 Solidity/EVM 细节（包括整数过流/欠流和未处理的异常）；EVM/自定义预编译的漏洞；托管信任/依赖漏洞（包括可组合性漏洞在内）；预言机故障/操控；新的治理攻击；经济/金融攻击（包括闪光贷款攻击）；拥堵和可扩展性（包括手续费用尽、区块填充、和易受抢跑攻击的影响）；共识失败；签名的可修改性、易受中继（relay）攻击的影响、薄弱的随机性、薄弱的加密技术等密码学问题；易受区块时间戳操控的影响；缺少访问控制/无保护的内部或调试接口；

2、网站和应用程序方面，优先考虑远程代码执行；托管信任/依赖性漏洞；垂直特权升级；XML外部实体注入；SQL注入；LFI/RFI；横向特权升级；存储的XSS；有影响的反射性XSS；有影响的CSRF；直接引用对象；内部SSRF；会话固定化；不安全的反序列化；DOM XSS；SSL错误配置；SSL/TLS问题（弱加密，设置不当）；URL重定向；点击劫持（必须附带PoC）；误导性的Unicode文本（例如，使用从右到左的覆盖字符）。

注意，以下漏洞不在本漏洞赏金计划范围内

  • 报告人自己已经利用了的攻击，并导致了损失；

  • 需要访问泄露的密钥/凭证的攻击；

  • 需要访问特权地址的攻击（治理、战略）；

  • 破解链接劫持不在范围内。

具体来说，分为以下两个方面：

1、智能合约和区块链方面，不接收的漏洞包含：

  • 第三方预言机提供的不正确数据；

  • 不排除预言机操控/闪电贷款攻击；

  • 基本的经济治理攻击（如51%攻击）；

  • 缺少流动性；

  • 最佳实践批评；

  • Sybil 攻击；

  • 集中化风险。

2、网站和应用程序方面，不接收的漏洞包含：

  • 没有任何证明或演示的理论性漏洞；

  • 内容欺骗/文本注入问题；

  • 自我 XSS；

  • 使用 OCR 绕过验证码的问题；

  • 没有安全影响的 CSRF（注销 CSRF，改变语言等）；

  • 缺少 HTTP 安全标头（如X-FRAME-OPTIONS）或 cookie 安全标志（如“httponly”）；

  • 服务器端的信息披露，如 IP、服务器名称和大多数堆栈痕迹；

  • 用来列举或确认用户或租户存在的漏洞；

  • 需要不可能的用户操作的漏洞；

  • URL 重定向（除非与另一个漏洞结合，产生更严重的漏洞）；

  • 缺少 SSL/TLS 的最佳实践；

  • DDoS 漏洞；

  • 需要来自组织内部的特权访问的攻击；

  • 电子邮件域名的 SPF 记录；

  • 功能请求；

  • 最佳实践。

注意！本漏洞赏金计划禁止以下活动：

  • 使用主网或公开测试网合约进行的测试（测试都应该在私人测试网上进行）；

  • 使用预言机或第三方智能合约进行的测试；

  • 试图对我们的员工和/或客户进行网络钓鱼或其他社会工程攻击；

  • 与第三方系统和应用程序（如浏览器插件）以及网站（如 SSO 供应商，广告网络）的测试；

  • 任何服务攻击的否定；

  • 对产生大量流量的服务进行的自动测试；

  • 公开披露禁止的赏金中未修补的漏洞。

关于Moonbeam
Moonbeam是波卡（Polkadot）网络中与以太坊兼容的智能合约平台，可实现轻松构建原生的互操作性去中心化应用。以太坊兼容特性允许开发者以最少的更改将现有的Solidity智能合约和DApp前端部署到Moonbeam。Moonriver作为Kusama上最活跃的平行链，已有80多个DApp完成在Moonriver的集成。Moonbeam将受益于Polkadot中继链的共享安全性和链接波卡其他链的互操作优势。

如需了解更多信息，请访问：Moonbeam | Polkadot Smart Contract Platform

关于Moonriver
Moonriver是Moonbeam的同行网络，旨在为激励实验提供永久性的测试环境。新上线项目的代码将优先部署到Moonriver，在其真实的经济环境下经历一系列的测试与实验验证。当验证完成并通过测试之后，项目代码才可正式部署至波卡上的Moonbeam。

如需了解更多信息，请访问：Moonriver - Solidity Smart Contracts on Kusama


更多 Moonbeam 信息 
官网: Moonbeam | Polkadot Smart Contract Platform
微博：Sina Visitor System
twitter: https://twitter.com/MoonbeamNetwork
Telegram: https://t.me/moonbeam_CN
Discord: https://discord.gg/skPfXvJWG7
中文电报群助手：@MoonbeamSister

软件漏洞和漏洞赏金计划-研究论文
05-20
许多软件开发人员都采用了漏洞赏金计划，该计划为检测其软件中的错误提供了奖励。 我们在具有非对称信息的模型中分析了漏洞赏金计划对软件开发人员有利的情况。 在我们的模型中，错误赏金计划使开发人员能够完美地区分不同类型的错误，并有助于避免被利用的错误的声誉损失。 我们发现赏金计划的好处不仅取决于底层软件的特征，而且赏金计划与安全策略的其他元素至关重要地相互作用。
moonbeam-docs-cn:Moonbeam项目的中文文档
04-01
该站点提供了Moonbeam的文档，Moonbeam是Polkadot网络上的一个完全与以太坊兼容的智能合约平行链。 在这里，您将找到针对开发人员，整理者，最终用户和其他Moonbeam网络参与者的高级和技术信息。 随着Moonbeam的...
Moonbeam 漏洞赏金计划，最高奖金 100 万美金
CryptoBuffett的博客
04-02 738
Moonbeam Bug Program 漏洞赏金计划 主要针对 Moonriver 和 Moonbeam 平行链，以及生态内的 DApps，Moonbeam 漏洞赏金计划，最高奖金 100 万美金！
漏洞赏金计划_软件安全性：除漏洞赏金计划外，还有更多其他功能
cxu0262的博客
06-25 298
漏洞赏金计划 据一个估计 ，每年发布的代码行超过1000亿行，并且连接到Internet的软件比例越来越高。 有了更多的连接代码，黑客就有更多风险连接到该代码以达到自己的邪恶目的。 有了获得被泄露代码的机会， 漏洞赏金计划正在蓬勃发展。 尽管很积极，但它们只是提供卓越安全性的一种方式。 [深入了解InfoWorld： 如何启动自己的错误赏金计划 。 • 与现代软件测试人员会面：概述了Bu...
RCE漏洞赏金计划，额外奖励五位数起
m0_46414917的博客
03-19 390
近日，被誉为末日博士的著名经济学家努里尔·鲁比尼（Nouriel Roubini）预测，2020年将首次爆发全球性的网络战。网络安全正面临着前所未有的威胁和挑战，更多基础设施将成为网络攻击的对象，遭受攻击的数量和影响持续加大。 基于此，360BugCloud推出“RCE漏洞赏金计划”，希望借此筑牢网络安全基础，加强网络阵地建设。 欢迎广大安全研究员参与“RCE漏洞赏金计划”，点击以下链接即可查看...
谷歌扩展漏洞赏金计划
mozhe_的博客
08-17 805
原文地址：https://www.hackeye.net/securityevent/15658.aspx 谷歌周三宣布扩展漏洞赏金计划，以减少滥用本平台检测系统缺陷的情况。 自2010年以来，谷歌的漏洞奖励计划已经为研究人员提供了超过1200万美元的资金，并创建了一个以谷歌为中心的安全社区。在过去的两年中，这些奖励中的一部分用于错误报告，这些报告不是严格的安全漏洞，而是允许第三方成功绕过谷歌...
Moonbeam_Explorer_Test
02-18
Moonbeam Explorer Testnet是适用于Moonbeam Testnet / Mainet和ETH RPC的简单块浏览器，扩展了探险应用程序（ ）。 原始的Moonbeam主题资源管理器可以在这里找到： : 特征： 显示链ID，端点的同步状态和运行时...
Moonbeam-开源
04-22
Moonbeam是一个开源项目，主要由Java编程语言实现，它是一个XML Socket服务器，专门设计用于支持构建多用户应用程序。XML Socket服务器是一种基于TCP/IP协议的服务器，它通过建立持久的连接来处理客户端的请求，允许...
moonbeam-truffle-box:月光松露盒
04-30
Moonbeam的Truffle盒的第一个版本。 有了它，您将找到一个Truffle样板设置，可以开始在Moonbeam上快速部署智能合约。 入门 要开始使用Moonbeam Truffle框，如果已全局安装了Truffle，则可以执行以下操作： mkdir ...
快速部署Moonbeam节点：Moonbeam Truffle插件使用指南
**Moonbeam Truffle 插件** 作为连接 Moonbeam 和 Truffle 框架的桥梁，允许开发者利用 Truffle 这个以太坊开发框架来开发和部署智能合约到 Moonbeam 网络。 #### 描述解析 **安装与启动 Moonbeam 节点** 描述中...
史上最高漏洞赏金计划出炉：单个漏洞最多奖励1.1亿元
weixin_55163056的博客
11-29 684
Uniswap Labs声称这将是“史上最高的漏洞赏金”，目前有记录的单个漏洞最高赏金记录是Web3漏洞赏金平台Immunefi声称支付的1.07亿元。
2025网络安全赏金猎人必看：漏洞悬赏平台终极指南（非常详细）从零基础入门到精通，收藏这篇就够了
Javachichi的博客
06-21 3418
国内的众测平台，说白了，就是甲方爸爸们把自家系统丢出来，让各路神仙各显神通，找茬领钱的地方。新手村的选手们可以先从这里练练手，但想一夜暴富，还是洗洗睡吧。当然，风险也极高，需要深厚的安全功底和敏锐的洞察力。小厂SRC的漏洞价值可能不高，但更容易挖掘。对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。针对特定行业（如关键基础设施、教育等）的SRC，可以让你更专注于特定领域，积累经验，提高漏洞挖掘的效率和准确性。
如何启动自己的漏洞赏金计划
cxu0262的博客
05-14 687
网络安全行业存在技能差距已经不是什么秘密了。 阅读任何有关全球安全领域招聘的报告，唯一的区别是短缺的规模。 根据去年的《全球信息安全劳动力研究》（GISWS），到2022年，全球缺口预计将达到180万，比2015年增加20％。 解决这种持续缺乏的网络技能的方法之一是用外部人员补充您现有的安全人员。 包括HackerOne，Bugcrowd和Synackare在内的新公司提供了一系列黑客社区...
2020年十大漏洞赏金项目
m0_48520508的博客
07-27 1039
2020年6月25日，Hackone公布了2020年十大漏洞赏金项目TOP10榜单，该列表基于HackerOne项目目录中的公共信息，排名依据每家企业在2020年4月（包括之前）向黑客支付的累计赏金总额。榜单排名具体如下： 第一名、Verizon Media 行业：数字媒体 总支付赏金：9,408,000美元 最高赏金：7万美元 初次响应时间：8小时 奖金支付平均账期：13天 答谢黑客：1315名 解决报告问题：5928个 第二名、Paypal 行业：支付、互联网金融 总支付赏金：2,790,000美元
如何成为一名“漏洞赏金猎人”？从零基础入门到精通，收藏这一篇就够了！
最新发布
2401_84578953的博客
08-15 846
想象一下，只要坐在电脑前，敲下几行代码，点击几下鼠标，就能为一家科技巨头企业找到一个隐藏的安全漏洞，随后银行卡里就会收到一笔不菲的赏金。这不是科幻电影中的情节，而是漏洞赏金猎人（道德黑客的一种类型）们的日常生活。这些网络世界的“寻宝者” 凭借高超的技术与耐心，以合法合规的方式在代码海洋中搜寻漏洞，既保护了千万用户的网络应用安全，同时也为自己赢得了可观的回报。如果你也想进入这个充满挑战与机遇的领域，本文将为你提供一些实用的入门建议和帮助。
Moonbeam团队发布针对自定义预编译的紧急安全修复
Moonbuilder的博客
06-06 303
2022年5月27日，Moonriver和Moonbeam都通过Runtime 1503和1504进行了紧急升级，成功解决当天早上（美国东部时间）由独立白帽黑客披露的一项安全问题。该安全问题现已修复，且无法在Moonriver和Moonbeam两处网络利用。初步迹象表明，该漏洞从未被利用，但团队仍将继续展开调查。...
如何建立漏洞赏金计划吸引外部安全研究者？
图幻未来的博客
01-15 509
综上所述构建和维护一个好的漏洞赏金计划不仅能够提升企业在信息安全领域的声誉，还能借此发掘出更多优秀的安全意识高超的安全专家为企业带来更大的价值. 通过以上几个步骤的实践相信您可以成功地建立起一个有吸引力的漏洞赏金计划并在实践中不断调整和升级以取得更好的结果。这有助于理解组织的需求和期望并及时解决可能出现的技术难题或者澄清可能的疑虑点 . 同时要定期对外公开披露漏洞状态和处理进度 ，以展示企业对安全和负责任的态度和对参与研究的个人所投入的承诺和支持力度.- 关注新的攻击技术和威胁模型。
如何开始漏洞赏金计划并成为漏洞挖掘猎手
2401_84578953的博客
10-23 1187
Ozgur Alp：10 年经验丰富的进攻性网络安全专家、讲师和讲师，持有 OSCP、OSWE 和 CEH 证书。获得Synack 颁发的2019|2020|2021 SRT 总冠军、2021 年最受信任黑客、2021 年度 SRT和2022 年度导师等奖项和冠军。正文人各有异，于此我仅分享我的故事及方法（在4年间凭此我赚了100万美元），希望它对初学者有所裨益。在一开始就开始如果你经常向他人询问如何在漏洞挖掘领域取得成功，我可以明确告诉你，这不是正确的方法。没有人能提供简单的成功公式。
记一次EDU运气加成的高危漏洞挖掘
韩束一叶子
05-17 919
漏洞挖掘是指通过分析软件、系统或网络中存在的安全漏洞来发现并利用这些漏洞。漏洞挖掘是信息安全领域的一项重要工作，可以帮助企业和组织提高系统的安全性，避免黑客攻击和数据泄露。漏洞挖掘的流程一般可以概括为以下几个步骤：确定目标：确定要挖掘的软件或系统。这可能是一个应用程序、操作系统、网络设备或其他系统。收集信息：收集有关目标的信息，包括架构、协议、版本和配置等。这些信息可以通过互联网搜索、手动扫描、自动化工具和其他途径获得。分析漏洞：通过手动和自动化技术进行漏洞分析，识别潜在的漏洞类型和攻击面。
Moonbeam节点部署实用脚本教程
标题：“moonbeam-node-script”表明这是一个关于Moonbeam节点运行的脚本。Moonbeam是一个基于Substrate框架的区块链网络，旨在作为Polkadot生态系统中的一个平行链运行。为了运行Moonbeam节点，需要一系列的配置和...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值