BlockPulseNews
Un bug bounty est un programme par lequel un projet promet une récompense aux chercheurs en sécurité qui découvrent et signalent de manière responsable une vulnérabilité dans son code ou son infrastructure, au lieu de l'exploiter.
Thème : Sécurité et arnaques
En crypto, une faille dans un smart contract peut permettre de dérober directement des fonds, souvent de façon irréversible. Les projets ont donc intérêt à inciter les experts à leur signaler les problèmes avant qu'un attaquant ne les exploite. Un programme de bug bounty définit le périmètre couvert (contrats, sites, infrastructures), les niveaux de gravité, le montant des récompenses associées et les règles à respecter, comme l'interdiction de tester sur le réseau principal ou de divulguer publiquement la faille avant sa correction.
Ces programmes sont souvent hébergés par des plateformes spécialisées qui assurent la médiation entre chercheurs et projets. Ils complètent les audits, qui examinent le code à un moment précis, en maintenant une surveillance continue après le déploiement. Les récompenses pour les failles critiques sont souvent calibrées en proportion des fonds menacés, afin que la divulgation reste plus intéressante que l'exploitation.
Imaginons qu'une chercheuse, Aïcha, découvre en lisant le code d'un protocole de prêt qu'une fonction mal protégée permettrait de retirer plus que son dépôt. Plutôt que d'exploiter la faille, elle la décrit en privé via le programme de bug bounty du projet. L'équipe corrige le contrat, vérifie qu'aucun fonds n'a été touché, puis verse à Aïcha la récompense prévue pour une faille critique.
Un bug bounty ne garantit pas l'absence de failles. Certains programmes offrent des récompenses trop faibles ou refusent de payer en invoquant le périmètre. Les chercheurs doivent respecter strictement les règles, car exploiter une faille, même pour la démontrer, peut être illégal. Les faux programmes servent parfois d'appât.
Non. C'est un signe de sérieux, mais il ne remplace ni les audits ni la prudence. Des protocoles disposant de programmes généreux ont déjà été piratés.
La signaler en privé à l'équipe, de préférence via le programme officiel, sans l'exploiter ni la rendre publique avant correction.
Les derniers articles de BlockPulseNews sur ce sujet.