Смысл простой, и на мой взгляд он безупречен: заплатить тому, кто нашёл ошибку, вместо того чтобы он использовал её сам. Выплата в несколько миллионов дешевле потери в несколько десятков миллионов, и эта арифметика работает безотказно. Для вкладчика такая программа — косвенный индикатор зрелости.

По данным отраслевого обзора, на профильной платформе действует более 300 активных программ, совокупные выплаты превысили 180 млн долларов, а сообщество исследователей насчитывает свыше 45 тысяч человек; при этом за 2025 год белым хакерам выплатили более 100 млн, тогда как эксплойты вывели из протоколов около 1,7 млрд. Источник

Соотношение говорит само за себя: 100 млн на защиту против почти 1,7 млрд потерь, то есть на каждый доллар, потраченный на белых хакеров, приходится семнадцать долларов украденного.

На что смотреть вкладчику

  • Размер максимальной выплаты. Она должна быть соразмерна средствам под управлением, а не символической.
  • Область программы. Что именно входит: контракты, интерфейс, инфраструктура, ключи.
  • История выплат. Публичные подтверждённые случаи важнее заявленных сумм.
  • Сроки реакции. Заявленное время до первого ответа и до окончательного решения по отчёту, причём разрыв между этими двумя сроками говорит о команде больше, чем оба числа по отдельности.

Масштаб самой площадки виден по её описанию: платформа заявляет защиту более чем 190 млрд долларов пользовательских средств и работу с более чем 330 проектами. Источник

Где начинаются споры

Решение о выплате принимает сам протокол. Он же определяет, попадает ли находка в область программы.

  • Конфликт интересов встроен в конструкцию.
  • Внешнего арбитра нет.
  • Спор заканчивается публичным разбирательством или ничем.

Показательный эпизод описывает разбор IOSG: исследователь безопасности, ранее работавший аудитором, подал через платформу отчёт, точно описывающий использованный впоследствии вектор атаки, но заявка была отклонена на том основании, что выбор сети верификаторов относится к конфигурации уровня приложения. Источник

Формулировка «вне области программы» — самая дорогая фраза в этом сегменте. Она одновременно снимает обязательство платить и оставляет уязвимость неисправленной, а через несколько месяцев тот же вектор реализуется уже не белыми руками.

Что это меняет в оценке

Наличие программы — плюс. Читать её я советую как договор: с исключениями и ограничениями.

Мой признак зрелости: протокол публикует не только программу, но и разбор отклонённых отчётов. Встречается редко.

Вывод

Программа вознаграждений снижает вероятность катастрофы и не устраняет её. Оценивать стоит область, историю и порядок разрешения споров, а не заявленный потолок выплаты. Смежные темы: аудит и верификация, чтение отчётов.

Частые вопросы

Какая выплата считается серьёзной?

Ориентир — не менее 5–10 % от средств под управлением для критических уязвимостей. Фиксированные потолки в несколько десятков тысяч при миллиардных активах защиты не создают.

Что означает требование доказательства концепции?

Исследователь обязан показать работающий сценарий эксплуатации, а не описание идеи. Требование отсекает шум, но замедляет раскрытие срочных находок.

Влияет ли программа на скорость исправления?

Влияет косвенно: платформа фиксирует дату подачи, и публичность этой даты дисциплинирует команду сильнее любых обещаний.