バグ報奨金制度とは

脆弱性を見つけた人には、悪用するか報告するかの選択肢があります。報奨金制度は、報告する側の見返りを明示することで、この選択の天秤を報告側に傾けようとする仕組みです。扱う資産が大きいプロトコルほど、報奨額も高く設定される傾向があります。

制度の設計として公開されるのは、対象となるコントラクトやコードの範囲、重大度の定義と対応する報奨額、報告の受付窓口、そして報告者が守るべき条件です。実際のネットワーク上で試すことを禁じ、検証環境での再現を求めるなど、利用者を巻き込まないための条件が置かれるのが通常です。

利用者が見るときの要点は、制度が存在することよりも、機能している形跡があるかどうかです。過去に支払われた報告の公開記録があるか、報告から修正までの対応が早いか、報奨の上限が扱う資産規模に対して見合っているか。掲示だけで支払い実績のない制度は、判断材料としては弱くなります。