Trabajo en curso

Este sitio todavía se está construyendo

La Fundación se está construyendo a la vista de todos. Lo que ves aquí es actual y honesto, pero no está terminado: léelo como dónde estamos hoy, no como una declaración final.

Entre ahora y la MainNet, las cosas cambiarán: redacción, estructura, imágenes y cifras. Algunas páginas son marcadores de posición. Cuando una fotografía representa a una persona, se trata de una imagen de archivo, no del individuo nombrado.

El ecosistema ZooBC en su conjunto llega por etapas. El monedero, el explorador, el foro de la comunidad y los canales sociales se van activando a medida que se acerca la MainNet, y este sitio crece junto con ellos.

Si algo se lee mal, parece roto o resulta engañoso, dínoslo. Para nosotros, los comentarios ahora valen más que un lanzamiento pulido más adelante.

Recompensa por errores

Qué se encontró, y cuánto valió

La testnet de ZooBC existe para romperse antes de que lo haga la MainNet por nosotros. Los hallazgos se publican a la vista de todos: cargas útiles, pasos y el debate sobre la corrección, todo en el mismo hilo. Esta página es la otra mitad: quién encontró qué, cómo se juzgó y qué pagó la Fundación.

Contrastado con el foro el . El foro cambia a diario: sigue cualquier enlace para ver el estado actual de ese hallazgo.

Dos premios, mantenidos por separado

Se mantienen separados a propósito, y confundirlos es la forma en que muere un programa de recompensas por errores.

El premio por gravedad

Se escala según lo que realmente estaba en riesgo, en cuatro bandas: A crítico, B alto, C normal, D bajo. La gravedad se vincula a lo que está en riesgo, no a lo que afirmaba el informe. A veces un informe se rebaja. También a veces se eleva por encima de lo que pedía su autor, cuando lo que hay detrás resulta ser peor de lo que creía.

El premio de calidad

Se paga por el trabajo que mejora un hallazgo real: una reproducción que cualquiera puede ejecutar, la línea exacta señalada, el impacto dimensionado con honestidad, una corrección propuesta, los casos hermanos revisados en lugar de detenerse en el primero. Es lo que pagamos cuando alguien convierte un informe escueto en uno sobre el que un desarrollador puede actuar.

No se paga solo por el esfuerzo. Un informe que no podemos reproducir, o que describe un comportamiento esperado, no obtiene premio por mucho trabajo que haya llevado, y no se incluye aquí. Lo decimos en el hilo del foro y explicamos por qué, para que el siguiente informe pueda ser mejor.

Un informe cuidadoso que aporta lo que uno más escueto omitió puede valer más que el hallazgo al que se refiere.

Informes y hallazgos no son lo mismo

Algunos de estos llegaron como un solo informe que cubría varios fallos, y se dividieron en el foro en un tema por hallazgo para que cada uno pueda seguirse y corregirse por separado. Cada hallazgo a continuación lleva su propia banda; cuando proviene de un informe más amplio, la fila lo indica y enlaza a él.

El informe en sí no recibe fila propia. Contarlo como un hallazgo inflaría los totales, y los informes ya se han dividido.

Qué llega a esta página

Solo los hallazgos que se han reproducido y adoptado, lo que en el foro significa que se han trasladado a una categoría curada. Las categorías de recepción abierta son donde cualquiera puede publicar, y buena parte de lo que hay allí aún no se ha reproducido; eso no se incluye aquí. Un hallazgo aparece cuando se confirma, y no antes.

Cómo se decide un estado

Sondeando la red en vivo, no leyendo un mensaje de commit. Una corrección fusionada, desplegada o descrita como terminada en un hilo no se registra aquí como resuelta hasta que el hallazgo mismo se haya vuelto a probar contra lo que realmente está en ejecución. Cuando esa comprobación no coincide con lo afirmado, el estado se corrige aquí y en el hilo del foro, para que quien reportó vea la corrección en el mismo lugar donde la presentó.

Dos estados se corrigieron de esta forma el 21 de septiembre, ambos en el sentido de admitir menos progreso del que se había afirmado. Una página de recompensas que solo avanza hacia "corregido" no merece la pena leerse.

El registro

34 hallazgos de 3 testers · comprobado el 24 sept 2026

Reportado porHallazgoÁreaBanda CalidadEstadoZBC
Aligot Storage endpoint serves raw uploaded files to anyone ↗ Nodo A — Confirmado, corrección escrita, no desplegada —
Aligot Wallet PIN brute-force protection bypass ↗ Monedero B — Corregido, en producción —
Aligot Stored XSS via token name in the wallet ↗ Monedero B — Corregido, en producción —
Aligot Escrow approve and reject broken ↗ Monedero B — Corregido, en producción —
Aligot Marketplace maker cannot cancel their own offer ↗ Monedero C — Confirmado, en curso —
Aligot Arcade game state causes a repeatable 500 ↗ Nodo C — Confirmado, en curso —
Aligot Explorer activity list drifts between pages ↗ Explorador D — Confirmado, sin empezar —
Aligot Resubmitting a mined transaction reports it as new ↗ Nodo D — Confirmado, en curso —
Aligot Exchange accepts a sell larger than the balance ↗ Monedero D — Confirmado, sin empezar —
Aligot Vesting total does not match what is locked ↗ Monedero D — Confirmado, sin empezar —
Aligot Malformed JSON returns 500 and names the parser ↗ Nodo D — Confirmado, en curso —
Cebo Third-party script on the wallet origin, no script policy ↗ Monedero A — Confirmado, en curso —
Cebo Token transfer form not cleared, duplicate submit ↗ Monedero B — Corregido, en producción (a la espera de reverificación) —
Cebo CLI liquid-payment-stop truncates a transaction id ↗ Herramientas B — Corregido, en producción —
Cebo Escrow confirm omits terms, amount shown in atomic units ↗ Monedero C — Corregido, en producción (a la espera de reverificación) —
Cebo Activity list mislabels a scheduled transfer ↗ Monedero D — Confirmado, sin empezar —
Cebo Fee overpay refunded on one escrow path, kept on the other ↗ Nodo D — Confirmado, en curso —
Teres Wallet stored XSS from on-chain data ↗ Monedero A — Corregido, en producción —
Teres Wallet stored XSS through a chat attachment ↗ Monedero A — Confirmado, en curso —
Teres Wallet account takeover from two localStorage blobs ↗ parte de un informe con varios hallazgos ↗ Monedero A — Corregido, en producción —
Teres Node crash: pre-auth SEGV via unbounded RLP recursion ↗ Nodo A — Corregido, en producción —
Teres Node crash: unvalidated ETH recovery id aborts the process ↗ Nodo A — Corregido, en producción —
Teres Node handshake accepts a caller-supplied address ↗ parte de un informe con varios hallazgos ↗ Nodo B — Parcialmente corregido, abierto —
Teres Unauthenticated storage upload exhausts a node's disk ↗ parte de un informe con varios hallazgos ↗ Nodo B — Corregido, en producción —
Teres Node traffic is cleartext, so agreement between nodes proves nothing ↗ parte de un informe con varios hallazgos ↗ Nodo C — Aceptado —
Teres Node API has no rate limiting and no auth-failure lockout ↗ parte de un informe con varios hallazgos ↗ Nodo C — Parcialmente corregido, abierto —
Teres Wallet pages can be framed by any site ↗ parte de un informe con varios hallazgos ↗ Monedero C — Corregido, en producción —
Teres Origin IP is directly reachable and exposes the node ports ↗ Nodo C — Aceptado —
Teres Calls relay on :8099 can be driven out of memory ↗ parte de un informe con varios hallazgos ↗ Nodo C — Corregido solo en la devnet —
Teres gRPC 1.51 and protobuf 3.21 on an unauthenticated port ↗ parte de un informe con varios hallazgos ↗ Nodo D — Aceptado —
Teres Signed-request auth verifies against the caller's own key ↗ parte de un informe con varios hallazgos ↗ Nodo D — Aceptado —
Teres Peer gossip exceeds the registry and crosses chains ↗ parte de un informe con varios hallazgos ↗ Nodo D — Aceptado —
Teres Host metrics served with no authentication on every node ↗ Nodo D — Confirmado, en curso —
Teres Node leaks internal detail into its own errors ↗ Nodo D — Confirmado, en curso —

Por tester

Reportado porHallazgos Premios de calidadPremios por verificación Pagado, ZBC
Teres 17 3 — — (18 todavía sin fijar)
Aligot 11 4 — — (12 todavía sin fijar)
Cebo 6 3 1 — (7 todavía sin fijar)

Un premio de calidad se asigna a un informe, no a cada hallazgo que contiene: un informe dividido en siete temas es un solo trabajo. Los importes aparecen una vez decididos; un guion significa que aún no se ha decidido, nunca cero.

El premio por verificación

Hay una tercera cosa que merece la pena pagar, y una persona se la ha ganado.

Sobre el truncamiento del id de transacción en la CLI, Cebo encontró un caso y después buscó la familia completa: el mismo error estaba en otros tres campos de id. Un informe, cuatro correcciones.

Después, al decirle que la corrección ya se había lanzado, descargó el repositorio público, lo reconstruyó y reportó que la corrección en realidad no estaba. Comprobar una afirmación así es trabajo, y trabajo poco agradecido. Es la razón por la que esta página distingue entre corregido, en producción y fusionado — y se paga por ello.

Participar

Publica en las categorías de recepción abierta en el foro — un hallazgo por tema, porque un tema con tres hallazgos solo puede juzgarse como uno. Explica qué hiciste, qué ocurrió y qué esperabas. Si se reproduce y se adopta, pasa a una categoría curada y aparece aquí.

Nada en esta página contiene una carga útil ni una reproducción. Eso vive en el foro, a la vista de todos, donde se puede debatir.

Aviso legal sobre redes sociales

Última actualización: 29 de septiembre de 2026

Esto es una traducción. Si difiere de la versión en inglés, prevalece la versión en inglés.

Este aviso legal se aplica a todas las publicaciones y contenido de redes sociales publicados por la Fundación ZooBC o en su nombre, incluido el contenido asociado a zoobc.com, zoobc.pro, zoobc.net, zoobc.network, socialconnect.network, proofofparticipation.network y zoobc.foundation.

1. Información general

Todas las publicaciones y el contenido en redes sociales (“el Contenido”) tienen fines exclusivamente informativos y de entretenimiento, y no expresan necesariamente las opiniones de ZooBC ni de ninguno de sus empleados, colaboradores o contratistas. El Contenido no está libre de errores y puede contener información incorrecta. Ningún consejo o información, oral o escrita, obtenido de ZooBC creará garantía o declaración alguna que no se formule expresamente aquí.

No debes basarte en ningún Contenido para obtener ningún tipo de asesoramiento, incluido el legal, de inversión, financiero, fiscal u otro asesoramiento profesional, y el Contenido no sustituye el asesoramiento de un profesional cualificado.

Ningún Contenido constituye una oferta de venta ni una solicitud de oferta de compra de ningún valor, token o activo digital, ni es una oferta, anuncio, solicitud, confirmación, declaración o promoción financiera que pueda interpretarse como una invitación o incentivo a participar en cualquier actividad de inversión o similar.

Para evitar dudas, el Contenido no lo proporciona un asesor de inversiones y no constituye un servicio de asesoría de inversión de ZooBC. Las republicaciones, retuits, seguimientos o "me gusta" de ZooBC y de las cuentas de redes sociales relacionadas con ZooBC no constituyen un respaldo de ZooBC a ninguna idea, persona, grupo o entidad.

2. Información de contacto

Si tienes alguna pregunta sobre nuestros sitios web o este Aviso Legal, contáctanos en info@zoobc.foundation.