バグバウンティ

Zcash 第三四半期トークン保有者向けの遡及的資金提供プログラムの投票結果は、Orchardの偽コインの脆弱性を発見したTaylor Hornbyに対する2つの報奨金提案が承認されたことを示しています。そのうちの1つは彼が申請した75万ドルの脆弱性報奨金で、もう1つはコミュニティメンバーが推薦した75万ドルの追加報奨金で、合計150万ドルになります。資金提供を受けた者は、その後KYCおよび資金の配布プロセスを完了する必要があります。

Bitcoin News の監視によると、Liquid の脆弱性を悪用した事件の背後にいるホワイトハットハッカー集団は、Blockstream がわずか 150 万ドルを費やしただけで、さらには何の資金も使っていない可能性があると非難し、50 億ドルの資産のセキュリティを提供していると述べています。この集団は、新しいチェーン上のメッセージで、Blockstream に対して関連資産の 10% に相当する脆弱性報酬を自社資金で支払うよう要求し、支払いを拒否すると保有者が 15% の損失を被ることになると警告しました。また、この集団は、以前に Blockstream と対話した内容を解読するための秘密鍵を公開すると述べています。これまでに、この集団は Liquid Federation に 3,400 BTC を返還しており、まだ約 600 BTC が返還されていないとしています。

1inch と HackenProof が協力して2026年上半期の脆弱性報告書を発表しました。報告書によると、2026年1月から6月まで、1inch は HackenProof 上の6つの主要な脆弱性報奨プログラムで、セキュリティ研究者から1,055件の報告を受け取り、そのうち32件が報奨を受けました。その中で、1inch Aqua 脆弱性報奨プログラムは、217名の研究者から472件の報告を受け取り、9件の脆弱性が報奨を受けました。これには1件の高危険度脆弱性といくつかの中危険度および低危険度の脆弱性が含まれています。関連する問題は、論理的不整合、単位の不一致、境界条件の実行、ツールに関連する問題であり、現在すべて修正されています。

The Blockの報道によると、Immunefiの最新データでは、7月の暗号業界はハッキング攻撃により約1.1億ドルの損失を被った。同時期に、このプラットフォームは確認された脆弱性報告に対して研究者に232万ドルを支払い、確認されて支払いが完了した脆弱性報酬報告の数は前月比で18%増加した。報告によると、同社の監査コンペティションでは平均して1回のコンペで6.2件の重大な脆弱性が発見され、1級監査の1.5件を上回っている；7月には脆弱性報酬プログラムを通じて374件の脅威が阻止された。

AI代理安全ツール V12 は、1000万ドルのシードラウンド資金調達を完了したことを発表しました。Electric Capital が主導し、ZachXBT、samczsun、Walden Yan などが参加しました。これまでに、V12 は主要なブロックチェーンの重大な脆弱性を自主的に発見しました。この脆弱性は1億ドル以上の資金リスクに関わっており、チームは250万ドルの脆弱性報奨金を獲得しました。これは AI 代理が得た最大の単一報奨金です。チームは、すべての脆弱性を見つけることができる AI システム「ネットワーク核兵器」を構築することを目指しており、ブラックボックスのペネトレーションテストではなくホワイトボックスのコード監査に重点を置いています。脆弱性報奨金制度は AI 時代には消滅すると考えており、唯一の解決策はコードがオンラインになる前に脆弱性を排除することだと述べています。V12 は暗号業界を重点的な応用シーンの一つと位置付けており、チームは以前にブロックチェーンセキュリティ会社 Zellic を設立し、1500回以上のセキュリティレビューを完了し、複数の脆弱性研究プロジェクトにも参加していました。

Com Feed の監視によると、Trusted Volumes の攻撃者は 1,122 ETH を返還し、約 200 万ドルの価値があり、同時に約 200 万ドルを「報酬」として保持しています。以前、この攻撃者は脆弱性を利用して約 580 万ドルの資金を盗んでいました。

Aaveの公式は、エコシステムの各部分のリスク特性により適合させ、審査プロセスを簡素化するために、バグ報奨金プログラムの更新を発表しました。最新の調整により、Aave V4およびCore Aave V3の重要なバグ（Critical Bug）に対する報奨金の上限が元の5倍に引き上げられました。Aave Labsは同時に、報奨金フレームワークの再編成を提案し、異なるサブシステムをImmunefi、Sherlock、Cantinaなどのプラットフォームで管理することにしました。その中で、Core Aave V3、V2、GHOなどのコア部分は引き続きImmunefiが担当し、Aave V4およびAave App StackはSherlockに移行し、Aave V3 on AptosはCantinaが担当します。

Kelpのセキュリティ事件後、Tetherの資産相互運用性プロトコルUSDT0はプロトコルのセキュリティアーキテクチャの詳細を発表しました。現在のシステムは独自のDVN（分散型検証ネットワーク）を採用しており、メッセージの拒否権を持っています。また、3つの独立した検証者が異なるコードベースに基づいて3/3の合意に達する必要があり、その後にクロスチェーンメッセージの決済が完了します。現在の検証ノードにはUSDT0の独自DVN、LayerZero、Canaryが含まれており、将来的には4/4および5/5の検証メカニズムに拡張する計画です。USDT0は、すべてのマルチシグ取引は署名前に内部チーム、外部セキュリティチーム、および監査機関による複数の審査を受ける必要があると述べており、関連する契約はGuardianやOpenZeppelinなどの機関による監査を受け、Immunefiで600万ドルのバグバウンティプログラムが開始されています。

予測市場プラットフォーム Polymarket は、Cantina プラットフォームで最高 500 万ドルの脆弱性報奨金プログラムを開始しました。このプログラムは、18 の Polygon 上のスマートコントラクト（V1/V2 CTFExchange および NegRisk バージョン、手数料モジュール、条件付きトークンフレームワーク、pUSD 担保パッキング / アンパッキングシステム、UMA オラクルアダプタなど）、ウェブアプリケーションおよび関連インフラ（リモートコード実行、機密データ漏洩、ウォレットインタラクションに関わるサブドメインの乗っ取り、悪意のある取引注入などの重要なウェブ脆弱性が最高報酬レベルに該当します）をカバーしています。スマートコントラクト関連の脆弱性の最高報酬は 500 万ドル、ウェブアプリケーション関連の脆弱性の最高報酬は 25 万ドルです。現在、このプログラムは正式に提出を受け付けています。

据以太坊基金会安全研究员 Fredrik 披露，以太坊基金会漏洞赏金计划已将最高奖励金额从 25 万美元提升至 100 万美元。エトリアム財団のセキュリティ研究者フレドリックによると、エトリアム財団のバグバウンティプログラムは、最高報酬額を25万ドルから100万ドルに引き上げた。

OKXの共同セキュリティプラットフォームCantinaは、OKXのオンチェーン契約の脆弱性報奨プログラムを正式に開始しました。総賞金プールは100万ドルに達します。このプログラムは、メインネットにデプロイされ、実際の生産環境にあるオンチェーンスマートコントラクトに焦点を当てており、現在は実際にユーザー資産の流通を担うDEXルーティングと関連コントラクトのセキュリティ監査報奨を行っています。OKXは現在、複数のエコシステムで生産レベルのオンチェーンDEXルーティングインフラを運営しており、ユーザーのオンチェーン取引の重要な実行経路に位置しています。継続的で構造化された公開の脆弱性監査報奨メカニズムを導入することで、OKXはオンチェーン取引システムの安全性と透明性をさらに向上させ、業界に生産レベルのオンチェーンシステムの安全維持の標準を確立することを目指しています。

Security Alliance の創設者 Samczsun は、コード監査、形式的検証、高額な脆弱性報酬の3つのステップだけではハッカー攻撃を防ぐには不十分であり、スマートコントラクトの年次再審査がプロトコルの安全を確保するための重要な第4のステップであると述べています。Samczsun は指摘しています：より高い脆弱性報酬はハッカー攻撃を防ぐことはできません。なぜなら、これはホワイトハットがブラックハットよりも先に脆弱性を発見することに賭けることに過ぎず、同じ金額を数年内の再監査に使うことができます。リスクレベルは TVL に対して線形に増加しますが、安全予算はそれに伴って増加しません。監査報告書は特定の時点での安全評価に過ぎず、期限が切れるものであり、プロトコル環境は継続的に変化しているため、評価を更新する唯一の方法は再監査を行うことです。Samczsun は、2026 年には暗号業界がプロトコルの安全を確保するための第4のステップとして年次再監査を採用すべきだと考えています。既に顕著な TVL を持つプロトコルは、その展開を再監査する必要があり、監査会社は全体の展開を評価することに特化した再監査サービスを提供すべきです。暗号業界は監査報告書を「期限が切れる可能性がある」時点での評価と見なすべきであり、永久的な安全保障とは見なすべきではありません。

据 The Block 报道，Uniswap の "UNIfication" ガバナンス提案は初期のスナップショット投票で 63,000,000 UNI トークン以上の支持を得ており、ほとんど反対がありません。この提案は、Uniswap Labs と Uniswap Foundation を調整されたガバナンスフレームワークの下で統一し、プロトコルレベルの手数料メカニズムを有効にすることを目的としています。現在、価値 15,500,000 ドルの Cantina 脆弱性報奨プログラムが開始され、新しい手数料切り替えスマートコントラクトをカバーし、来週予定されている完全なオンチェーン投票の準備を進めています。

Uniswap は Cantina で最大 1550 万ドルの新しいバグ報奨プログラムを開始し、研究者が Uniswap プロトコル、Uniswap Web インターフェース、バックエンドサービス、モバイルおよび拡張ウォレット、インフラストラクチャ内のセキュリティ脆弱性を見つけて報告することを奨励します。このプログラムでは、脆弱性の深刻度に応じて報酬が提供され、重大、高リスク、中程度、低リスクの4つのレベルに分類され、それぞれの最高報酬は 1550 万ドル、100 万ドル、10 万ドル、5 万ドルとなっています。

据 CoinList の発表によると、暗号脆弱性報奨プラットフォーム Immunefi（IMU）のトークン販売が2025年11月12日17:00 UTCにCoinListで正式に開始される。トークンの単価は0.01337ドルに設定され、FDVは1.337億ドルとなる。今回の配分は373,971,578枚のIMU（総量の3.74%）で、TGEは100%ロック解除される。申込下限は100ドルで、USDT/USDCに対応している。現在、登録が開始されている。Immunefiは、Web3およびスマートコントラクトのセキュリティに特化した脆弱性報奨プラットフォームであり、ブロックチェーンおよびスマートコントラクトプロジェクトに対して脆弱性報酬の管理、コンサルティング、脆弱性の分類およびプログラム管理サービスを提供している。これまでに、このプロジェクトはFramework Ventures、Electric Capital（リード投資）、P2 Ventures、Bitscale Capitalなど、複数の暗号および従来のテクノロジー資本から支援を受けており、総調達額は2900万ドルである。

ChainCatcher のメッセージによると、公式の発表で Coinbase が Cantina プラットフォームと提携し、500 万ドルのバグバウンティプログラムを開始することを発表しました。このプログラムは、同社のオンチェーン製品と Base スマートコントラクトのセキュリティに焦点を当てています。これは、これまでで最大規模の Web3 セキュリティプログラムの一つであり、世界中の Web3 組織のセキュリティ基準に新たなベンチマークを設定することを目的としています。このプログラムは Cantina プラットフォームを通じて運営され、提出されたすべてのバグは Web3 セキュリティ専門家によって評価され、報酬はバグの再現性と技術的影響に基づいてランク付けされます。セキュリティ研究者は、構造化されたプロセスを通じて重要なインフラの検証に参加できるようになりました。

ChainCatcher のメッセージによると、公式の発表として 1inch は、コミュニティによる責任ある脆弱性の開示を促進するために、5 つの脆弱性報奨プログラムを開始したことを発表しました。主に 1inch スマートコントラクト（50 万ドルの報酬）、1inch ウォレット（10 万ドルの報酬）、1inch 開発者ポータル（10 万ドルの報酬）、dApp（5 万ドルの報酬）、およびインフラストラクチャ（2 万ドルの報酬）を対象としています。

ChainCatcher のメッセージによると、The Block が報じたところでは、分散型ステーブルコインプロトコル Usual がブロックチェーンセキュリティ会社 Sherlock と協力して脆弱性報奨金プログラムを開始し、コードベース内の重要な脆弱性を見つけるために 1600 万ドルの報酬を提供しています。この報酬は、以前の Uniswap（1550 万ドル）、LayerZero Labs（1500 万ドル）、および Wormhole（1000 万ドル）が設定した報酬を上回っています。Usual のコードベースは、最近の Sherlock の監査コンペティションを含め、20 回の監査を受けており、中程度以上の脆弱性は発見されていません。重要な脆弱性と認定されたもののみが最高報酬の対象となります。Usual は現在、88 億ドルを超える総ロック価値（TVL）を管理しています。Sherlock の CEO ジャック・サンフォードは、この協力が DeFi の誠実な発展を促進し、エコシステム全体の信頼を強化することを目的としていると述べています。

ChainCatcher のメッセージ、MIM Spell は gmCauldrons に関する脆弱性の存在を認識していることを明らかにしました。コア貢献者とセキュリティエンジニアがこの問題を深く調査しており、できるだけ早く詳細情報を提供する予定です。Zeroshadow チームが警告を発した後、すべての cauldrons の貸出が停止されました。現在、今回の攻撃による全損失を評価しています。また、この脆弱性は gmCauldrons のみ影響を及ぼし、ユーザーの担保資産には影響がありません。MIM Spell はハッカーとの交渉を希望しており、脆弱性報奨金の総額の 20% を提供する意向です。

ChainCatcher のメッセージ、Virtuals Protocol は X プラットフォームで発表し、1 月 16 日までに 3 万ドル以上のバグ報奨金を支払ったことを報告し、責任を持ってバグを報告したセキュリティ研究者コミュニティに感謝しています。