Bug bounty
Что было найдено и сколько это стоило
Тестовая сеть ZooBC существует для того, чтобы её ломали — до того, как это сделает основная сеть вместо нас. Находки публикуются открыто — пейлоады, шаги воспроизведения и обсуждение исправления, всё в одной теме. Эта страница — вторая половина: кто что нашёл, как это было оценено и сколько заплатил Фонд.
Сверено с форумом . Форум обновляется ежедневно — перейдите по любой ссылке, чтобы увидеть текущее состояние находки.
Две награды, раздельно
Они разделены намеренно, и их смешение — верный способ загубить программу вознаграждений за ошибки.
Награда за серьёзность
Масштабируется в зависимости от того, что реально было под риском, по четырём диапазонам — A критическая, B высокая, C обычная, D низкая. Серьёзность определяется тем, что под риском, а не тем, что заявлено в отчёте. Иногда отчёт понижают в серьёзности. А иногда повышают сверх того, о чём просил автор, — когда оказывается, что проблема хуже, чем он думал.
Награда за качество
Оплачивается работа, которая делает реальную находку лучше: воспроизведение, которое может запустить любой, указанная строка кода, честно оценённое влияние, предложенное исправление, проверка родственных случаев вместо остановки на первом. Именно за это мы платим, когда кто-то превращает скудный отчёт в такой, по которому разработчик может действовать.
Вознаграждение не выплачивается просто за усилия. Отчёт, который мы не можем воспроизвести, или тот, что описывает ожидаемое поведение, не получает награды, сколько бы труда в него ни было вложено, и не попадает в этот список. Мы говорим об этом прямо в теме форума и объясняем почему, чтобы следующий отчёт получился лучше.
Тщательно составленный отчёт, восполняющий то, что упустил более скромный отчёт, может стоить больше, чем сама находка, к которой он относится.
Отчёты и находки — не одно и то же
Некоторые из них пришли как один отчёт, охватывающий сразу несколько проблем, и были разделены на форуме на отдельную тему на каждую находку, чтобы каждую можно было отслеживать и исправлять независимо. У каждой находки ниже свой диапазон; там, где она происходит из более крупного отчёта, это указано в строке со ссылкой на него.
Сам отчёт отдельной строки не получает. Учитывать его как находку означало бы раздувать итоги, а отчёты уже разделены на отдельные находки.
Что попадает на эту страницу
Только находки, которые были воспроизведены и приняты в работу, то есть на форуме перемещены в отобранную категорию. В открытых категориях приёма может публиковать кто угодно, и многое там ещё не воспроизведено — это здесь не перечисляется. Находка появляется здесь только после подтверждения, и не раньше.
Как определяется статус
Путём проверки действующей сети, а не чтения сообщения о коммите. Исправление, которое слито (merged), развёрнуто или названо готовым в теме форума, не считается здесь исправленным, пока сама находка не будет перепроверена на том, что реально работает. Если такая проверка расходится с заявленным, статус исправляется здесь и в теме форума, чтобы автор сообщения увидел поправку там же, где он подавал отчёт.
21 сентября были исправлены два статуса, и в обоих случаях — в сторону признания меньшего прогресса, чем было заявлено. Страница баунти, которая только и делает, что двигается в сторону «исправлено», не стоит того, чтобы её читать.
Реестр
34 находки от 3 тестировщика · проверено 24 сент. 2026 г.
На тестировщика
| Автор сообщения | Находки | Награды за качество | Награды за проверку | Выплачено, ZBC |
|---|---|---|---|---|
| Teres | 17 | 3 | — | — (18: ещё не назначено) |
| Aligot | 11 | 4 | — | — (12: ещё не назначено) |
| Cebo | 6 | 3 | 1 | — (7: ещё не назначено) |
Награда за качество присуждается отчёту, а не каждой находке в нём отдельно — один отчёт, разделённый на семь тем, остаётся одной работой. Суммы появляются после того, как они определены; прочерк означает «ещё не решено», а не ноль.
Награда за проверку
Есть и третье, за что стоит платить, и один человек это заслужил.
В случае с усечением id транзакции в CLI Cebo нашёл один случай — а затем поискал похожие и обнаружил ту же ошибку ещё в трёх полях с id. Один отчёт — четыре исправления.
А затем, узнав, что исправление якобы вышло, он скачал публичный репозиторий, пересобрал его и сообщил, что исправления там на самом деле нет. Проверка подобного заявления — это работа, причём неприятная работа. Именно поэтому эта страница вообще различает исправлено, в боевой сети и слито — и именно за это платят.
Участие
Публикуйте в открытых категориях приёма на форуме — одна находка на тему, потому что тему с тремя находками можно оценить только как одну. Опишите, что вы сделали, что произошло и что вы ожидали. Если находка воспроизведена и принята в работу, она переходит в отобранную категорию и появляется здесь.
На этой странице нет ни пейлоадов, ни шагов воспроизведения. Они находятся на форуме, в открытом доступе, где их можно оспорить.