漏洞赏金

ChainCatcher 消息，区块链漏洞赏金平台 Immunefi 宣布上线 Immunefi Credits。自提交费用机制启动以来，研究员为有效报告支付的费用将获得等额 Credits，范围包括本人有效发现、有效报告的重复提交、私人已知问题，以及调解结果有利于研究员的情形。平台表示已有超过 700 名研究员获得 Credits，无需另行申请，额度可在控制台余额关联的 Credits 页面查看。Immunefi 表示，即日起 Credits 可用于支付平台内提交报告、调解、账户验证等费用，并在 Immunefi Studio 向公众开放后用于相关服务。1 个 Credit 价值 1 美元，可用 USDC 购买。Credits 不替代漏洞赏金或审计竞赛奖励，有效发现仍按原规则获得奖励，并额外获得与提交费用等额的 Credits。本次追溯发放的 Credits 自即日起有效期为 12 个月，此后每笔 Credits 自入账日起有效 12 个月，绑定账户，不可转让或兑现。可计入的情形还包括漏洞赏金中已支付或审计竞赛中已确认的本人发现、他人有效报告的重复项、私人已知问题及其重复项，以及调解胜诉时的调解费用。公开已知问题、无效报告、超出范围、违反政策、被拒报告的重复项以及本人报告的重复项不计入。账户验证费用在验证后有有效报告且准确率至少达到 25% 时可获得等额 Credits。费用机制自 3 月 24 日起适用于漏洞赏金，自 4 月 10 日起适用于审计竞赛，目前相关核验约每两周进行一次。

ChainCatcher 消息，据 CoinDesk 报道，大量 AI 辅助生成的漏洞报告涌入，促使 Solana 验证客户端 Firedancer 团队要求研究人员每提交一份漏洞报告永久销毁 1 枚 SOL（约 100 美元），以遏制垃圾报告。该费用不可退还，即使报告无效、超出范围或重复；未销毁 SOL 的报告无资格获得奖励。4 月 9 日至 5 月 9 日的 100 万美元审计竞赛吸引 162 名研究人员提交 809 份报告，产生 127 个独特安全发现，近半数有效提交为重复。Jump Crypto 认为，几乎所有提交都有 AI 代理参与发现或撰写，待处理报告一度积压至 299 份。与此同时，Jump 提高奖励标准，符合条件的发现在 11 月 20 日前可获得标准赏金的两倍，Alpenglow 特定漏洞为三倍，关键发现最高 30 万美元。

ChainCatcher 消息，Cysic 发文向未经授权增发 1000 万枚 CYS 的攻击者提出和解方案，要求对方在链上公告发布后的 72 小时内，向 Cysic 基金会指定地址归还 275.872 枚 ETH，约占已确认 ETH 收益的 90%。作为交换，攻击者可保留剩余约 30.652 枚 ETH 作为漏洞赏金。Cysic 表示，已还原攻击关键环节并保留相关技术及链上证据；若对方未在期限内归还资金，项目方将升级处理并寻求执法部门介入，推动全面刑事调查。

ChainCatcher 消息，链上侦探 ZachXBT 针对 XRP Ledger 基金会关于安全修复的回应表示，基金会金库持有数十亿美元，却仅向发现“XRP 无限增发”严重漏洞的白帽黑客支付 25 万美元。他称，这会促使攻击者不再选择善意上报漏洞，而是利用漏洞窃取数亿美元资金。ZachXBT 还表示，正因如此，人们难以将 XRP Ledger 或 Ripple 视为正经机构。此前，XRP Ledger 基金会澄清称，相关漏洞并未增发 XRP，补丁由社区共识推动。

ChainCatcher 消息，Zcash 第三季度代币持有者定向追溯性资助计划投票结果显示，针对 Orchard 假币漏洞发现者 Taylor Hornby 的两项赏金提案均获通过。其中一项为其申请的 75 万美元漏洞赏金，另一项为社区成员提名的 75 万美元追加奖金，合计 150 万美元。获资助者后续仍需完成 KYC 和资金发放流程。

ChainCatcher 消息，据 Bitcoin News 监测，Liquid 漏洞利用事件背后的白帽黑客团伙指责 Blockstream 仅花费 150 万美元，甚至可能未花费任何资金，为价值 50 亿美元的资产提供安全保障。 该团伙在一条新的链上消息中要求 Blockstream 使用自有资金支付相当于相关资产 10% 的漏洞赏金，并警告称拒绝支付将导致持有者亏损 15%。 该团伙还表示，将公布用于解密此前与 Blockstream 对话内容的私钥。此前，该团伙已向 Liquid Federation 返还 3,400 枚 BTC，仍有约 600 枚 BTC 尚未返还。

ChainCatcher 消息，1inch 与 HackenProof 合作发布 2026 年上半年漏洞赏金报告。报告显示，2026 年 1 月至 6 月，1inch 在 HackenProof 上的 6 个核心漏洞赏金计划共收到安全研究员提交的 1,055 份报告，其中 32 份获得奖励。其中，1inch Aqua 漏洞赏金计划收到 217 名研究员提交的 472 份报告，共有 9 个漏洞获得奖励，包括 1 个高危漏洞，以及若干中危和低危漏洞。相关问题涉及逻辑不一致、单位不匹配、执行边界情况和工具相关问题，目前均已修复。

ChainCatcher 消息，据 The Block 报道，Immunefi 最新数据显示，7 月加密行业因黑客攻击损失约 1.1 亿美元。 同期，该平台为经确认的漏洞报告向研究人员支付 232 万美元，已确认并完成支付的漏洞赏金报告数量环比增长 18%。 报告显示，其审计竞赛平均每次可发现 6.2 个严重漏洞，高于一级审计的 1.5 个；7 月通过漏洞赏金计划共阻止 374 起威胁。

ChainCatcher 消息，AI 代理安全工具 V12 宣布完成 1000 万美元种子轮融资，Electric Capital 领投，ZachXBT、samczsun、Walden Yan 等参投。此前，V12 自主发现一个主要区块链的重大漏洞，该漏洞涉及超 1 亿美元资金风险，团队因此获得 250 万美元漏洞赏金，为 AI 代理获得的最大单笔赏金。团队表示其目标是构建“网络核武器”——能够找到系统所有漏洞的 AI 系统，专注于白盒代码审计而非黑盒渗透测试，认为漏洞赏金制度将在 AI 时代消亡，唯一解决方案是在代码上线前消除漏洞。V12 表示加密行业是其重点应用场景之一，该团队此前成立区块链安全公司 Zellic，完成超过 1500 次安全审查，并曾参与多个漏洞研究项目。

ChainCatcher 消息，据 Com Feed 监测，Trusted Volumes 攻击者已归还 1,122 枚 ETH，价值约 200 万美元，同时保留约 200 万美元作为“赏金”。 此前，该攻击者曾利用漏洞盗取约 580 万美元资金。

ChainCatcher 消息，Verus 在 X 平台发文确认 Verus-Ethereum 跨链桥遭遇攻击，以太坊链上合约中的 ETH、USDC 与 tBTC 被盗，目前其他桥接资产暂未受到影响。Verus 网络现已暂停运行，大多数出块节点在遭遇攻击衍生影响后已主动下线，开发团队正在全力调查事件影响范围、攻击路径及后续处理方案，并将在确认更多信息后公布进展。 Verus 表示，愿与相关执法机构合作追究法律责任；但若攻击者全额归还资金，项目方愿意提供漏洞赏金，并不再进一步追责。Verus 同时提醒任何在公开频道、私信或其他渠道中自称 Verus 团队或社区成员并提供“赔付”“补偿计划”的人员均为诈骗者。官方强调，不要与任何声称存在赔付项目或提供赔偿的人互动，并请及时向 Discord 或 X 平台举报相关账号。 此前，Verus 以太坊跨链桥遭攻击，损失约 1158 万美元。

ChainCatcher 消息，Aave 发文表示，其漏洞赏金计划已更新，以便更好地使奖励与生态系统中每个部分的风险状况相匹配，并简化审查路径。Aave V4 和 Core Aave V3 的严重漏洞修复奖励上限现已提高五倍。

ChainCatcher 消息，Aave 官方宣布更新漏洞赏金计划，以更好地匹配生态各部分的风险特征，并简化审核流程。根据最新调整，Aave V4 和 Core Aave V3 的关键漏洞（Critical Bug）赏金上限提升至原来的 5 倍。 Aave Labs 同时提议对赏金框架进行重组，将不同子系统分别置于 Immunefi、Sherlock 和 Cantina 等平台管理，其中 Core Aave V3、V2、GHO 等核心部分继续由 Immunefi 负责；Aave V4 和 Aave App Stack 转向 Sherlock；Aave V3 on Aptos 由 Cantina 负责。

ChainCatcher 消息，据官方消息，智能合约审计平台 Code4rena 宣布将逐步停止运营，Web3 安全公司 Immunefi 将接手其客户和安全研究人员。Code4rena 在社交媒体发帖称已做出停运决定，并表示所有进行中的竞赛和赏金活动将照常完成，现有合作将“妥善收尾”。Immunefi 表示将帮助迁移 Code4rena 的赏金项目、奖励结构和研究人员至其平台。 Code4rena 以其“竞争性审计”模式闻名，独立研究员竞争查找智能合约漏洞以获取奖励。此次停运距离区块链安全公司 Zellic 于 2024 年收购 Code4rena 不到两年。此前，Code4rena 曾于 2023 年从 Paradigm 筹集 600 万美元用于审计激励和平台扩展。 此次关停正值 DeFi 协议与安全领域面临艰难时期。DefiLlama 数据显示，仅 4 月份就发生超过 20 起加密漏洞事件，创月度纪录。摩根大通分析师认为，持续的 DeFi 安全事件正限制主要机构投资者入场。同时，DeFi 总锁仓价值已从 10 月的约 1600 亿美元降至目前的约 830 亿美元。

ChainCatcher 消息，在 Kelp 安全事件后，Tether 资产互操作性协议 USDT0 公布协议安全架构细节，其表示目前系统采用专有 DVN（去中心化验证网络）并拥有消息否决权，同时要求 3 个独立验证器基于不同代码库达成 3/3 一致共识后跨链消息方可完成结算。当前验证节点包括 USDT0 专有 DVN、LayerZero 及 Canary，未来计划扩展至 4/4 及 5/5 验证机制。USDT0 还表示，所有多签交易在提交签名前，均需经过内部团队、外部安全团队及审计机构多重审核，相关合约已接受 Guardian 与 OpenZeppelin 等机构审计并在 Immunefi 上线 600 万美元漏洞赏金计划。

ChainCatcher 消息，TrustedVolumes 在 X 平台发文确认遭到攻击，其披露截至目前被盗资金分别存放于三个地址中，总金额约为 670 万美元。其中两个地址各持有约 300 万美元资产，另一个地址持有约 70 万美元资产，同时 TrustedVolumes 表示愿意就漏洞赏金及双方可接受的解决方案与攻击者展开建设性沟通。

ChainCatcher 消息，预测市场平台 Polymarket 已在 Cantina 平台上线最高 500 万美元漏洞赏金计划。该计划覆盖完整技术栈，包括 18 个 Polygon 上的智能合约（V1/V2 CTFExchange 及 NegRisk 版本、费用模块、条件代币框架、pUSD 抵押品包装 / 解包系统、UMA 预言机适配器等）、网页应用及相关基础设施（远程代码执行、敏感数据泄露、涉及连接钱包交互的子域名接管以及恶意交易注入等关键 Web 漏洞均符合最高奖励等级）。 智能合约相关漏洞最高奖励 500 万美元，Web 应用相关漏洞最高奖励 25 万美元。目前该计划已正式开放提交。

ChainCatcher 消息，Web3 安全平台 Immunefi 在 X 平台发文宣布，DeFi 协议 Alchemix 已基于其最新 v3 合约在平台上重新启动漏洞赏金计划，最高奖励达 30 万美元。此次计划旨在鼓励安全研究人员审查新版本合约代码，提前发现潜在漏洞，以提升协议整体安全性。Immunefi 表示，目前正是审计相关代码、参与赏金计划的关键窗口期。

ChainCatcher 消息，据以太坊基金会安全研究员 Fredrik 披露，以太坊基金会漏洞赏金计划已将最高奖励金额从 25 万美元提升至 100 万美元。

ChainCatcher 消息，据 The Block 报道，Uniswap 的 “UNIfication” 治理提案已在初步 Snapshot 投票中获得超过 63,000,000 UNI 代币支持，几乎无人反对。该提案旨在将 Uniswap Labs 和 Uniswap Foundation 统一在协调的治理框架下，同时激活协议级费用机制。目前，一项价值 15,500,000 美元的 Cantina 漏洞赏金计划已经启动，覆盖新的费用切换智能合约，为预计下周进行的完整链上投票做准备。