漏洞赏金
发现了什么，以及它的价值
ZooBC 测试网存在的目的，就是在主网替我们承受之前先被人攻破。发现会被公开发布 — 攻击载荷、复现步骤，以及关于修复方案的讨论，全部放在同一个帖子里。本页面是另一半内容：谁发现了什么、它是如何被评定的，以及基金会支付了多少。
对照论坛核实于 。论坛内容每天都在更新 — 请点击链接查看该发现的最新状态。
两类奖励，分开计算
它们被刻意区分开来，把两者混为一谈正是漏洞赏金计划走向失败的方式。
严重程度奖励
依据实际面临的风险分为四个等级 — A 级严重、B 级高、C 级一般、D 级低。严重程度取决于实际存在的风险，而非报告中的说法。一份报告有时会被降级。有时也会被升级到超出作者原本申报的等级，因为问题背后的实际情况，比报告者意识到的更严重。
质量奖励
为让一个真实的发现变得更完善而付费：一份任何人都能运行的复现步骤、指明具体代码行、如实评估影响范围、提出修复方案，并排查同类问题而非止步于第一个。这是我们为把一份简略报告打磨成开发者可以直接采取行动的报告而支付的报酬。
它不会仅仅因为付出的努力而获得报酬。一份我们无法复现的报告，或者一份描述的其实是预期行为的报告，无论投入了多少工作，都不会获得奖励，也不会被列入此处。我们会在论坛帖子中说明这一点并解释原因，以便下一份报告能做得更好。
一份详尽的报告，补足了简略报告遗漏的信息，其价值可能超过它所附带的发现本身。
报告与发现并不是一回事
其中一些最初是以一份涵盖多个问题的报告形式提交的，后来在论坛上被拆分为每个发现各占一个帖子，以便分别追踪和修复。下面的每一项发现都有各自的等级；如果它来自一份更大的报告，对应行会予以说明并附上链接。
报告本身不会单独占一行。把它当作一项发现来计算会虚增总数，况且这些报告本身已经被拆分过了。
哪些内容会出现在本页面
只有已被复现并被采纳的发现才会出现在这里，在论坛上这意味着它们已被移入经过筛选的分类。而开放提交分类是任何人都可以发帖的地方，其中很多内容尚未被复现 — 那些内容不会列在这里。一项发现只有在被确认之后才会出现，确认之前不会。
状态是如何判定的
通过探测实际运行中的网络来判定，而不是通过阅读提交记录。一个已被合并、已部署，或在帖子中被描述为完成的修复，在这里都不会被记为已修复，除非该发现本身已针对实际运行情况重新测试过。如果这项核查结果与此前的说法不符，状态会在这里以及对应的论坛帖子中一并更正，这样报告者就能在自己提交的地方看到更正。
9 月 21 日，有两项状态就是这样被更正的，两次都是朝着承认进展低于此前所宣称的方向修正。一个状态永远只朝“已修复”方向移动的赏金任务页面，是不值得阅读的。
台账
34 项发现，来自 3 位测试者 · 核实于 2026年9月24日
每位测试者
| 报告者 | 发现 | 质量奖励 | 核验奖励 | 已支付，ZBC |
|---|---|---|---|---|
| Teres | 17 | 3 | — | — (18 尚未设定) |
| Aligot | 11 | 4 | — | — (12 尚未设定) |
| Cebo | 6 | 3 | 1 | — (7 尚未设定) |
质量奖励是颁给报告本身的，而不是报告中的每一项发现 — 一份拆成七个主题的报告仍是一项工作。金额会在确定后显示；短横线表示尚未确定，绝不代表零。
核验奖励
还有第三类值得付费的事，而且已经有一个人获得了这份报酬。
在 CLI 交易 ID 截断问题上，Cebo 最初发现了一处实例 — 随后进一步排查同类问题，结果发现另外三个 ID 字段也存在同样的漏洞。一份报告，四处修复。
随后，在被告知修复已经上线之后，他们拉取了公开的代码仓库、重新构建，并报告称修复其实并不存在。核实这样的说法是一项工作，而且是一项吃力不讨好的工作。这正是本页面之所以要区分已修复、已上线与已合并的原因 — 这样的工作也是有偿的。
参与其中
在论坛的开放提交分类中发帖 — 每个帖子只报告一个发现，因为一个包含三个发现的帖子只能被当作一个来评判。说明你做了什么、发生了什么，以及你原本预期的结果。一旦该发现被复现并被采纳，就会被移入经过筛选的分类并出现在这里。
本页面不包含任何攻击载荷或复现步骤。这些内容都公开发布在论坛上，可供讨论和质疑。