El Bug Bounty es un programa que paga recompensas a investigadores que descubren vulnerabilidades en software o contratos inteligentes. Las recompensas varían según la gravedad del hallazgo y pueden pagarse en criptomonedas como TON.
Historia#
- En 1995, Netscape Communications Corporation lanzó el primer programa público de Bug Bounty, con una asignación inicial de $50 000 propuesta por Jarrett Riedlinghafer.
- En Rusia, el primer programa se abrió en 2012 por Yandex, seguido por VK en 2013. Para 2020 había numerosos recursos abiertos en el país.
Formatos de programa#
Interno (in‑house)
Una empresa publica el programa en su propio sitio web. Los investigadores envían informes detallados; la empresa verifica, corrige y paga la recompensa tras una segunda confirmación. Este modelo es típico en grandes corporaciones con equipos de seguridad internos.
Basado en plataformas
La empresa se registra en una plataforma especializada (por ejemplo, HackenProof) y define alcance, condiciones y recompensas. Los investigadores se verifican en la plataforma, envían informes y reciben pagos tras la revisión del cliente. Las plataformas suelen cobrar una comisión y facilitan la gestión de disputas.
Programas de Bug Bounty en la blockchain TON#
A diciembre de 2024 existen varios programas activos, cuyo fondo total supera los cientos de miles de TON.
STON.fi Bug Bounty
- Fondo: 200 000 TON.
- Recompensas típicas: 1 000 TON (vulnerabilidad media), 2 000 TON (alta) y hasta 20 000 TON (crítica).
Getgems Bug Bounty
- Formato de concurso; se premian los cinco mejores informes.
- Premio máximo: $500 por informe según gravedad.
HackenProof × TON
- Plataforma líder para auditorías de contratos inteligentes.
- Anunció una asociación con la TON Foundation hace un año (2024).
- Los primeros proyectos incluidos fueron TonDiamonds, STON.fi y Evaa Protocol.
TON Foundation Bug Bounty
- Recompensas entre $150 y $5 000 por informe.
- Inscripción a través del bot
@ton_bugs_bot.
Requisitos para participar#
- Dominio del inglés para leer documentación y redactar informes.
- Conocimientos de programación (Python, JavaScript, Rust, Solidity, FunC).
- Familiaridad con legislación de ciberseguridad.
- Uso de herramientas de análisis (Burp Suite, Metasploit, Slither, Mythril).
- Comprensión de protocolos de red y desarrollo web.
- Habilidades de lógica, análisis y documentación clara.
Recursos de aprendizaje#
- Awesome Ethical Hacking Resources (
github.com/hassnainfareed/awesome-ethical-hacking-resources). - Laboratorios virtuales: bWAPP, HackTheBox, TryHackMe, DVWA.
- Competencias CTF y cursos de CertiK Academy enfocados en contratos inteligentes.
- Repositorios de informes anteriores en HackenProof e Immunefi.
Véase también#
- TON Foundation
- STON.fi
- Getgems
- Smart Contracts
- The Open Network
- Evaa