---
title: "क्रिप्टो बग बाउंटी: ब्लॉकचेन हैक करने के लिए भुगतान पाना"
description: "ब्लॉकचेन से पहले नेटस्केप, गूगल और हार्टब्लीड थे। अब इम्यूनेफी, दस मिलियन डॉलर के पेआउट और स्मार्ट कॉन्ट्रैक्ट्स हैं जो बारीकी से जांचे जाने का इंतज़ार कर रहे हैं।"
language: hi
published: 2026-05-02
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/crypto-bug-bounties-getting-paid-for-hacking-blockchain?lang=hi
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# क्रिप्टो बग बाउंटी: ब्लॉकचेन हैक करने के लिए भुगतान पाना

ब्लॉकचेन से पहले नेटस्केप, गूगल और हार्टब्लीड थे। अब इम्यूनेफी, दस मिलियन डॉलर के पेआउट और स्मार्ट कॉन्ट्रैक्ट्स हैं जो बारीकी से जांचे जाने का इंतज़ार कर रहे हैं।

"हैकर्स" शब्द से जुड़ी रूढ़िवादी छवि आश्चर्यजनक रूप से अडिग है: एक काली हुडी पहने हुए एक युवक, जो एक तेज़ रोशनी वाले कमरे में स्क्रीन को घूर रहा है और उन लोगों के पासवर्ड चुरा रहा है जिन्होंने इंटरनेट पर बहुत अधिक भरोसा किया है। यह छवि दशकों से वास्तविक सुरक्षा संस्कृति में बनी हुई है क्योंकि यह किसी जटिल चीज़ को खलनायक के रूप में पेश करने का एक सुविधाजनक तरीका है — और खलनायक हमेशा उपयोगी होते हैं। जिसके बारे में आप आम तौर पर कम सुनते हैं वह यह है कि कुछ बेहतरीन हैकर्स उस लेनदेन के दूसरी तरफ होते हैं, जो अपराधियों से पहले खामियों को ढूंढते हैं (और अपनी मेहनत के लिए भुगतान प्राप्त करते हैं)। इस अभ्यास का एक नाम, एक संस्थागत स्मृति और एक पेशेवर संरचना है जो ब्लॉकचेन की अवधारणा से कई दशक पहले की है।

पहला आधुनिक शैली का, संगठित बग बाउंटी कार्यक्रम 10 अक्टूबर, 1995 को नेटस्केप (Netscape) द्वारा शुरू किया गया था। कंपनी अपने तत्कालीन प्रमुख ब्राउज़र, नेविगेटर 2.0 पर काम कर रही थी, और उसने एक सार्वजनिक आह्वान किया था: एक सुरक्षा बग खोजें, जिम्मेदारी से उस भेद्यता (vulnerability) का कंपनी को खुलासा करें, और अपने प्रयासों के लिए भुगतान प्राप्त करें। हालांकि आज के मानकों के हिसाब से बजट कम था — पूरे कार्यक्रम के लिए $50,000 — लेकिन यह विचार अपने आप में वास्तव में मौलिक था। नेटस्केप, वास्तव में, सार्वजनिक रूप से स्वीकार कर रहा था कि उसके सॉफ़्टवेयर में ऐसी खामियां थीं जिन्हें वह आंतरिक रूप से नहीं पहचान सकता था और बाहरी लोग उन्हें खोजने के लिए बेहतर स्थिति में हो सकते थे। पैसे से कहीं अधिक, यह उस अंतर्निहित स्वीकृति का महत्व था।

2000 के दशक के दौरान इसकी शुरुआत धीमी रही और बड़े प्लेटफार्मों के शामिल होने पर इसमें तेज़ी आई। 2010 में गूगल ने अपने 'वल्नरेबिलिटी रिवॉर्ड प्रोग्राम' की घोषणा की, जो आज अकेले शोधकर्ताओं को $12,000,000 से अधिक का भुगतान करता है और आज तक कुल मिलाकर $50,000,000 से अधिक का भुगतान कर चुका है। 2013 तक माइक्रोसॉफ्ट ने एक आधिकारिक कार्यक्रम के साथ इस चलन का अनुसरण किया, और एप्पल — जिसने लंबे समय तक इस विचार का विरोध किया था — ने आखिरकार 2020 में अपना खुद का सार्वजनिक कार्यक्रम शुरू किया।

2010 के दशक के मध्य तक, अपनी सुरक्षा के प्रति गंभीर किसी भी तकनीकी कंपनी के लिए बग बाउंटी एक आम बात हो गई थी। HackerOne और Bugcrowd जैसी सेवाओं ने कंपनियों को उन फ्रीलांस सुरक्षा शोधकर्ताओं के साथ जोड़कर इन कार्यक्रमों को बड़े पैमाने पर संचालित करने में मदद की, जो पूर्णकालिक रूप से खामियों (vulnerabilities) की तलाश करते हैं।

![](https://netts.io/blog/articles/crypto-bug-bounties-getting-paid-for-hacking-blockchain/images/Screenshot_2026-05-02_163816.png)

हालांकि, सुरक्षा से जुड़ी सभी बड़ी खोजें किसी औपचारिक बाउंटी प्रोग्राम के तहत नहीं हुईं, और कुछ सबसे महत्वपूर्ण परिणामों ने यह दर्शाया कि जब ऐसा नहीं होता है तो क्या हो सकता है। 2014 में, दो टीमों — गूगल के नील मेहता और फिनिश फर्म कोडेनोमिकॉन (Codenomicon) की टीम — ने स्वतंत्र रूप से OpenSSL में एक गंभीर खामी का खुलासा किया। OpenSSL वह क्रिप्टोग्राफिक लाइब्रेरी है जो इंटरनेट के एन्क्रिप्टेड ट्रैफ़िक के एक बड़े हिस्से को आधार प्रदान करती है। 'हार्टब्लीड' (Heartbleed) के नाम से जानी जाने वाली इस नई खोजी गई खामी ने हमलावर को सर्वर से मेमोरी पढ़ने में सक्षम बना दिया (जिस तक उनकी पहुंच नहीं होनी चाहिए थी), जिससे प्राइवेट कीज़, हजारों सेवाओं द्वारा उपयोग किए जाने वाले क्रेडेंशियल और यूजर डेटा स्पष्ट टेक्स्ट (clear text) में उजागर हो गए। वहां दावा करने के लिए कोई बग बाउंटी नहीं थी। हालांकि इस खामी की रिपोर्ट जिम्मेदारी से की गई थी, लेकिन खोज और पैचिंग के बीच यह हमारी सोच से कहीं अधिक समय तक उजागर रही। इसके बाद सॉफ्टवेयर पैच, कंटेंट अपडेट और यहां तक कि फॉरवर्ड्स के लिए महीनों तक वैश्विक स्तर पर अफरा-तफरी मची रही। यह विपरीत स्थिति — कि क्या होता यदि किसी सरकारी खुफिया सेवा या आपराधिक गिरोह ने इसे पहले खोज लिया होता — इतनी विचलित करने वाली थी कि इसने पूरे उद्योग में व्यवस्थित प्रकटीकरण कार्यक्रमों (structured disclosure programs) के कार्यान्वयन में तेजी ला दी।

## क्रिप्टो को अन्य क्षेत्रों की तुलना में व्हाइट हैट्स की अधिक आवश्यकता क्यों है

इस प्रकार, ब्लॉकचेन में सुरक्षा की समस्या औसत सॉफ्टवेयर सुरक्षा समस्या की तुलना में संरचनात्मक रूप से भिन्न (और मौलिक रूप से अधिक जटिल) है, जो यह समझाने के लिए महत्वपूर्ण है कि यहाँ बग बाउंटी (bug bounties) परिदृश्य का इतना केंद्रीय हिस्सा क्यों बन गई हैं।

पारंपरिक सॉफ्टवेयर में, कोई भेद्यता (vulnerability) गंभीर तो होती है लेकिन सीमित होती है। किसी बैंक का प्रभावित वेब एप्लिकेशन डेटा लीक कर सकता है या धोखाधड़ी को बढ़ावा दे सकता है, लेकिन नुकसान एक ऐसी प्रणाली के भीतर सीमित रहता है जिसमें कानून, बीमा, धोखाधड़ी का पता लगाने की तकनीक और अवैध लेनदेन को वापस करने की क्षमता होती है। पैसे का एक 'पेपर ट्रेल' होता है। हमलावर शून्य में काम नहीं कर रहा होता है।

वहीं DeFi में नुकसान के परिदृश्य: एक सफल (या असफल) एक्सप्लॉइट लगभग हर आयाम में अलग तरह से काम करता है। यदि कोई घुसपैठिया स्मार्ट कॉन्ट्रैक्ट में किसी 'टाइमिंग फ्लॉ' (timing flaw) का फायदा उठाता है, तो कुछ ही सेकंड में प्रोटोकॉल का सारा फंड निकाला जा सकता है। यदि सफल होता है, तो हमलावर ने ऐसी क्रिप्टोकरेंसी प्राप्त कर ली है जिसे न केवल ट्रैक करना मुश्किल है, बल्कि उसके मालिक के सहयोग के बिना उसे वापस पाना लगभग असंभव है। कोई भी लेनदेन को रद्द नहीं कर सकता क्योंकि कोई केंद्रीय प्राधिकरण नहीं है। किसी भी समय, अरबों डॉलर इन सार्वजनिक रूप से पठनीय और स्वायत्त रूप से व्यवहार करने वाले स्मार्ट कॉन्ट्रैक्ट्स में अपरिवर्तनीय रूप से पड़े रहते हैं। आपका कोड ही आपका उत्पाद है, और आपका उत्पाद एक तिजोरी है। लगभग हर तंत्र के लिए यह 'पहले आओ, पहले पाओ' जैसा है, जिसमें एकमात्र सहारा ऑन-चेन पर मौजूद अटूट रिकॉर्ड है।

यही कारण है कि क्रिप्टो में 'भाला बनाम ढाल' (spear versus shield) की गतिशीलता इतनी गंभीर महसूस होती है। जिस क्षण आप कोई ऐसा प्रोटोकॉल तैनात करते हैं जिसमें वैल्यू होती है, वह पहले दिन से ही हमले के निशाने (attack vector) पर आ जाता है। हमलावर असंगठित नहीं हैं।

कुछ राष्ट्र-राज्यों से जुड़े हैं, कुछ उन्नत आपराधिक उद्यम हैं, और कई अन्य केवल अनैतिकता का मार्ग और सॉलिडिटी (Solidity) में ठिकाना ढूंढ रहे हैं; उनके पास नकद उपलब्ध है और वे बाज़ की तरह नज़र रख रहे हैं कि क्या डिप्लॉय किया गया है। सुरक्षा समस्याओं के कारण उपयोगकर्ताओं के कम होने का इंतज़ार करना कोई स्थायी व्यावसायिक रणनीति नहीं है। नहीं, एकमात्र विकल्प दूसरों से पहले उन कमियों (vulnerabilities) को ढूंढना है — और ऐसे प्रतिभाशाली लोगों को काम पर रखना है जो उन्हें ढूंढने में सक्षम हों।

ऑडिटिंग और पेनिट्रेशन टेस्टिंग — डिप्लॉय करने से पहले किसी सुरक्षा फर्म से कोड की जांच करवाना — आवश्यक है, लेकिन बिल्कुल भी पर्याप्त नहीं है। ऑडिट आमतौर पर समय-बद्ध होते हैं और सीमित आकार की टीमों द्वारा किए जाते हैं। एक "स्मार्ट" कॉन्ट्रैक्ट सिस्टम में इंटरैक्शन के लाखों संभावित मार्ग हो सकते हैं और समय की कमी के कारण एक ऑडिट टीम केवल अधिक स्पष्ट मार्गों को ही कवर कर पाएगी। ये बग बाउंटी प्रोग्राम खोज को बहुत व्यापक क्षितिज पर ले जाते हैं, और विभिन्न पृष्ठभूमि, विभिन्न मानसिक मॉडल और अनिश्चित समय वाले शोधकर्ताओं के एक वैश्विक समूह के साथ काम करते हैं। दोनों का संयोजन — मेननेट (mainnet) से पहले व्यापक आंतरिक ऑडिट, फिर एक स्थायी बाउंटी प्रोग्राम — आजकल प्रोटोकॉल सुरक्षा के प्रति जागरूक लोगों के लिए मानक तरीका है।

## एक हज़ार डॉलर या एक मिलियन के बीच का CEO गणित

बग बाउंटी कार्यक्रमों का आर्थिक तर्क इतना स्पष्ट है कि इसके स्पष्टीकरण की आवश्यकता नहीं है; हालांकि व्यवहार में इसकी आवश्यकता पड़ती है क्योंकि खर्च अभी होता है, जबकि बचत सैद्धांतिक होती है और लंबी अवधि में फैली होती है।

एक प्रोटोकॉल जिसने गंभीर भेद्यता (critical vulnerability) पर $10,000 की बाउंटी रखी, उसने अपनी सुरक्षा पर $10K खर्च किए। यह वही प्रोटोकॉल है जो किसी भेद्यता को प्रकट नहीं करेगा (हमने अभी एक हमलावर को इसका फायदा उठाते देखा है), और अब अपनी जीवन भर की बचत खो सकता है, करोड़ों डॉलर तेजी से खत्म हो सकते हैं और चिंता करने के लिए बहुत अधिक जटिलताएं हो सकती हैं, वास्तव में आमतौर पर संचालन पूरी तरह से बंद हो सकता है। बाउंटी कोई खर्च नहीं था — यह बीमित घटना होने से पहले एक पूर्व-निवारक बीमा भुगतान (pre-emptive insurance payout) था।

लॉन्च से पहले इस गणित को समझाने के लिए कितनी भी बहस पर्याप्त नहीं है — हर वह CEO जिसने किसी बड़े एक्सप्लॉइट का सामना किया है, वह इसे गहराई से समझता है। जिन्होंने इसका अनुभव नहीं किया है, वे सुरक्षा खर्च को केवल एक और परिचालन लागत (operational cost) मानते हैं, जिसे अनुपालन की औपचारिकता पूरी करने के लिए कम से कम रखा जाना चाहिए।

![](https://netts.io/blog/articles/crypto-bug-bounties-getting-paid-for-hacking-blockchain/images/Screenshot_2026-05-02_164448.png)

लागत का डेटा DeFi एक्सप्लॉइट्स के इतिहास द्वारा प्रदान किया जाता है। उदाहरण के तौर पर, अकेले 2022 में, Ronin नेटवर्क ब्रिज को $625 मिलियन का नुकसान हुआ। और एक अन्य ब्रिज, Wormhole, को जनवरी में हैक किया गया था, जिसकी लागत $320 मिलियन थी। Nomad ब्रिज — $190 मिलियन का नुकसान हुआ क्योंकि शुरुआती हमले के पैटर्न का पता चलने के बाद हर उपयोगकर्ता प्रोटोकॉल को खाली कर सकता था — यह एक ऐसी भेद्यता थी जिसे खोजने और ठीक करने के लिए बाउंटी में केवल $50,000 की लागत आ सकती थी। ये कोई मामूली मामले नहीं हैं। ये उस आधिकारिक रिकॉर्ड का हिस्सा हैं जो एक उच्च-मूल्य वाले वातावरण में घटित होता है, जहाँ 'रेड टीमिंग' की कमियों को खोजने के लिए भारी इनाम दिया जाता है और एक्सप्लॉइट करने की कोई लागत नहीं होती।

कम चर्चा में रहने वाला जोखिम वास्तव में इसके विपरीत है। एक प्रोटोकॉल जो पर्याप्त तैयारी से पहले बग बाउंटी प्रोग्राम शुरू करता है, वह प्रभावी रूप से उन सभी कमियों को खोजने के लिए एक खुला निमंत्रण दे रहा है जो उसकी आंतरिक टीम से छूट गई थीं — और यदि कोडबेस का ऑडिट ठीक से नहीं किया गया है, तो वह लगभग सब कुछ हो सकता है। उदाहरण के लिए, बीस गंभीर भेद्यताओं वाले कॉन्ट्रैक्ट सिस्टम के खिलाफ शुरू किया गया $100,000 की सीमा वाला प्रोग्राम एक ही समय में ऐसे खुलासों का सामना कर सकता है जो कुछ ही दिनों में पूरे बाउंटी बजट को खाली कर दें; और इस बीच प्रोटोकॉल को सुरक्षित रूप से काम करने के लायक न छोड़ें।

इस परिदृश्य की कल्पना करें जिससे हमें यह कहने का मौका मिलता है कि कई शुरुआती DeFi प्रोजेक्ट्स लगभग इसी स्थिति में थे: एक बाउंटी प्रोग्राम की सार्वजनिक रूप से घोषणा की जाती है, और रिपोर्टों की झड़ी लगनी शुरू हो जाती है जिससे पता चलता है कि आंतरिक ऑडिट (internal audit) केवल एक संक्षिप्त अवलोकन (overview) था; हालाँकि, सुधार की लागत (remediation costs) उस बजट से कहीं अधिक हो गई जो टीम ने अपने पूरे सुरक्षा दृष्टिकोण के लिए निर्धारित किया था। इस कहानी की सीख यह नहीं है कि बग बाउंटी (bug bounties) जोखिम भरी हैं — बल्कि यह है कि वे कोड की गुणवत्ता के एक न्यूनतम मानक की अपेक्षा करती हैं। प्रोटोकॉल अपनी सबसे गंभीर समस्याओं को सबसे बुरे तरीके से तब पहचानते हैं जब वे ठोस आंतरिक सुरक्षा कार्य के विकल्प के रूप में बाउंटी प्रोग्राम लॉन्च करते हैं, न कि उसके पूरक के रूप में।

इन निष्कर्षों के परिणामस्वरूप वास्तविक दुनिया में निम्नलिखित क्रम सामने आया है: आंतरिक समीक्षा, विश्वसनीय फर्मों द्वारा एक या अधिक बाहरी ऑडिट, और फिर एक स्थायी बग बाउंटी के साथ प्रोडक्शन। अन्य लोग 'स्टेजेड रोलआउट' (staged rollout) का एक अतिरिक्त उपाय अपनाते हैं — जिसमें बाउंटी लाइव रहने के दौरान एक निश्चित समय के लिए प्रोटोकॉल के अधिकतम 'वैल्यू-एट-रिस्क' (value-at-risk) को सीमित किया जाता है, और तरलता (liquidity) को केवल तभी बढ़ाया जाता है जब कोई गंभीर विफलता सामने न आई हो। यह प्रक्रिया सीधे लॉन्च करने की तुलना में धीमी और अक्सर महंगी होती है। इसका विकल्प कभी-कभी विनाशकारी हो सकता है।

## इकोसिस्टम: प्लेटफॉर्म, प्रोग्राम और रिकॉर्ड भुगतान

अनौपचारिक प्रकटीकरण (informal disclosure) ईमेल और तदर्थ (ad hoc) पुरस्कारों के शुरुआती दिनों से क्रिप्टो बग बाउंटी इंफ्रास्ट्रक्चर काफी परिपक्व हो गया है।

Immunefi इस क्षेत्र का सबसे बड़ा प्लेटफॉर्म है और इसे दिसंबर 2020 में लॉन्च किया गया था। इसने अब तक 3,000 से अधिक बग रिपोर्टों पर शोधकर्ताओं को $100 मिलियन से अधिक का भुगतान किया है, और दावा किया है कि इसने 2026 की शुरुआत तक कम से कम 500 प्रोटोकॉल पर $25 बिलियन से अधिक के नुकसान को रोकने में मदद की है। यह प्लेटफॉर्म लगभग 45,000 पंजीकृत सुरक्षा शोधकर्ताओं के समुदाय को सेवा प्रदान करता है, संरचित प्रकटीकरण प्रक्रियाओं (structured disclosure processes) का समर्थन करता है और गंभीरता वर्गीकरण (severity classification) तथा भुगतान मूल्यों पर शोधकर्ताओं और प्रोटोकॉल के बीच होने वाली बातचीत में मध्यस्थता करता है।

Immunefi बाउंटी भुगतान का एक हिस्सा लेता है, जो उनके प्रोत्साहनों को बाजार के दोनों पक्षों के साथ उचित रूप से संरेखित करता है: वे तब बेहतर प्रदर्शन करते हैं जब शोधकर्ता वास्तविक बग ढूंढते हैं और प्रोटोकॉल उनके लिए भुगतान करते हैं।

![](https://netts.io/blog/articles/crypto-bug-bounties-getting-paid-for-hacking-blockchain/images/Screenshot_2026-05-02_163550.png)

प्लेटफॉर्म के इतिहास में अब तक का सबसे बड़ा एकल भुगतान $10 मिलियन का इनाम है, जो फरवरी 2022 में "satya0x" नाम के एक शोधकर्ता को Wormhole ब्रिज में एक अनइनिशियलाइज्ड प्रॉक्सी भेद्यता (uninitialized proxy vulnerability) खोजने के लिए दिया गया था। यदि इस भेद्यता का फायदा उठाया जाता, तो लगभग $736 मिलियन मूल्य के लॉक किए गए संसाधन उजागर हो सकते थे। शोधकर्ता ने जिम्मेदारी से इसका खुलासा किया और उन्हें उस समय के अब तक के सबसे बड़े ज्ञात बग बाउंटी भुगतान से सम्मानित किया गया। दिसंबर 2021 में Polygon ने शोधकर्ता Leon Spacewalker से $2.2 मिलियन में एक गंभीर बग खरीदा था, जो 9.3 बिलियन MATIC टोकन तक की मिंटिंग (minting) को सक्षम कर सकता था — जो उस समय की मुद्रा कीमतों के अनुसार अरबों डॉलर न केवल इन आंकड़ों का उन प्रोटोकॉल के मूल्य के साथ तालमेल होना चाहिए जिन्हें ये प्रोटोकॉल सुरक्षित करने का प्रयास कर रहे हैं, बल्कि उन्हें उस स्तर के शोधकर्ताओं के अनुरूप भी होना चाहिए जिनका ध्यान आप आकर्षित करना चाहते हैं — $1,000 की सीमा उस व्यक्ति को प्रोत्साहित नहीं करेगी जो बहु-अरब डॉलर के प्रोटोकॉल में किसी गंभीर सुरक्षा खामी (game-breaking vulnerability) का फायदा उठाने में सक्षम है।

Code4rena और Sherlock थोड़े अलग हैं, आप एक निर्धारित समय सीमा के भीतर एक प्रतिस्पर्धी ऑडिट प्रतियोगिता आयोजित करते हैं, जिसमें कई शोधकर्ता एक ही समय में कोडबेस का निरीक्षण करते हैं और खामियों की गंभीरता और वैधता के आधार पर कुल पुरस्कार राशि प्राप्त करते हैं। Code4rena के सभी ऑडिट में 8,300 से अधिक पंजीकृत ऑडिटर्स और 24,000 से अधिक विशिष्ट निष्कर्षों (findings) का समुदाय है। Sherlock द्वारा ऐसी 175 से अधिक प्रतियोगिताएं आयोजित की जा चुकी हैं। एक प्रतिस्पर्धी प्रारूप प्रोत्साहन संरचना (incentive structure) को बदल देता है; शोधकर्ताओं को उन समस्याओं को खोजने के लिए प्रोत्साहित किया जाता है जिन्हें अन्य लोग अनदेखा कर सकते हैं, क्योंकि ऐसी महत्वपूर्ण मात्रा में मिलने वाले निष्कर्षों पर अक्सर बहुत कम या कोई भुगतान नहीं मिलता है। सामान्य तौर पर, यह क्रमिक ऑडिट (sequential audits) या ओपन-एंडेड बाउंटी कार्यक्रमों की तुलना में बड़े पैमाने पर समस्याओं को उजागर करता है। Coinbase और MakerDAO जैसे अन्य Bitcoin Cash धारकों के लिए क्रिप्टो प्रोग्राम अभी भी GitHub पर होस्ट किए जा रहे हैं। Web3 के सभी सक्रिय बग बाउंटी बाजारों में अब 162 मिलियन अमेरिकी डॉलर से अधिक की बाउंटी की पेशकश की जा रही है, यदि कुछ योजना के अनुसार नहीं होता है, जो दांव पर लगी राशि के आकार और उस पेशेवर मार्ग का संकेत है जिस पर कई शोधकर्ताओं ने अपनी यात्रा शुरू की है।

## बारीकी और कौशल (Handicraft) का विश्लेषण और यह आसान पैसा क्यों नहीं है

एक बग बाउंटी हंटर की वह छवि, जो किसी दोपहर एक खामी देखता है और छह अंकों का भुगतान प्राप्त कर लेता है, काम की वास्तविकता से मेल नहीं खाती है। क्रिप्टो क्षेत्र में सुरक्षा अनुसंधान के माध्यम से नियमित आजीविका कमाने वाले इसके पेशेवर आमतौर पर विशेषज्ञ होते हैं, जिनका इस मुकाम तक पहुँचने का मार्ग उन क्षेत्रों में कई वर्षों की तकनीकी तैयारी से होकर गुजरता है जहाँ अधिकांश डेवलपर्स शायद ही कभी कदम रखते हैं।

प्रोडक्शन स्मार्ट कॉन्ट्रैक्ट कोड में उच्चतम गंभीरता वाले दोषों को खोजने के लिए एथेरियम वर्चुअल मशीन (EVM) में विशेषज्ञता की आवश्यकता होती है — न केवल यह जानना कि सॉलिडिटी (Solidity) कैसे लिखी जाती है, बल्कि यह समझना भी कि यह किस रूप में कंपाइल होती है, बाइटकोड निष्पादित करते समय EVM वास्तव में क्या करता है और भाषा की कौन सी विशेषताएं इसके कंपाइलर द्वारा सुनिश्चित की जाती हैं या की जानी मानी जाती हैं, बनाम उनके संभावित 'एज केसेस' (edge cases) जो समय सीमा के दबाव में संसाधनों की कमी से जूझ रहे डेवलपर्स द्वारा किए गए गैस ऑप्टिमाइज़ेशन विकल्पों के साथ मिलकर सुरक्षा संबंधी समस्याएँ बन सकते हैं। इसके लिए न केवल सामान्य भेद्यता श्रेणियों — री-एंट्रेंसी (reentrancy), इंटीजर ओवरफ्लो (integer overflow), फ्लैश लोन हेरफेर (flash loan manipulation), ओरेकल प्राइस हेरफेर (oracle price manipulation), एक्सेस कंट्रोल विफलताएं, इनिशियलाइजेशन भेद्यताएँ — की समझ की आवश्यकता होती है, बल्कि उन नए अटैक वेक्टर्स का पता लगाने की क्षमता भी होनी चाहिए जो किसी भी ज्ञात पैटर्न के अनुरूप नहीं होते हैं। सबसे उपयोगी निष्कर्ष वे होते हैं जिनकी कोई तलाश भी नहीं कर रहा था।

शोधकर्ता इस कार्य के लिए जिस टूलकिट का उपयोग करते हैं, वह काफी परिपक्व हो गई है और अब इसमें ऐसे उपकरण शामिल हैं जो अधिकांश मामलों में उन उपकरणों से अभिन्न हैं जिन्हें एक दुर्भावनापूर्ण हमलावर तैनात करेगा:

ट्रेल ऑफ बिट्स (Trail of Bits) द्वारा विकसित एक स्टैटिक एनालिसिस फ्रेमवर्क, स्लिदर (Slither), आपके सॉलिडिटी कोड को 40 ज्ञात भेद्यता पैटर्न के आधार पर स्कैन कर सकता है और आपको एक व्यवस्थित आउटपुट दे सकता है। यह पहला कदम है, अंतिम नहीं — इसमें फॉल्स पॉजिटिव (false positive) की संभावना होती है और यह लॉजिक-लेयर की भेद्यताओं को पूरी तरह से छोड़ देता है।

मिथ्रिल (Mythril) एक कॉन्ट्रैक्ट की संभावित स्थितियों की जांच करने के लिए सिम्बोलिक एक्जीक्यूशन (symbolic execution) का उपयोग करता है और यह देखता है कि क्या कोई पहुँच योग्य स्थिति शोधकर्ता द्वारा निर्दिष्ट कुछ सुरक्षा गुणों का उल्लंघन करती है। हालाँकि, यह महंगा है और जटिल कॉन्ट्रैक्ट्स के केवल सतही विश्लेषण की अनुमति देता है।

यह एक प्रॉपर्टी-आधारित फज़र (property-based fuzzer) है: इनवेरिएंट्स (invariants) का एक सेट दिए जाने पर, जिन्हें एक कॉन्ट्रैक्ट को हमेशा संतुष्ट करना चाहिए, रिसर्चर उन्हें एकिडना (Echidna) को पास करता है, जो उन्हें तोड़ने की कोशिश में हजारों रैंडम ट्रांजैक्शन सीक्वेंस के माध्यम से गुजरता है। हम विशेष रूप से अंकगणित (arithmetic) और स्टेट-मैनेजमेंट लॉजिक में एज केसेस (edge cases) खोजने में माहिर हैं।

अधिकांश गंभीर सुरक्षा अनुसंधान अब फाउंड्री (Foundry) का उपयोग करके किए जा रहे हैं क्योंकि इसमें 'मुझे लगता है कि यह काम करेगा' → 'मैं साबित कर सकता हूँ कि यह काम करता है' के बीच बहुत कम मैपिंग (mapping) है, खासकर इसलिए क्योंकि अधिकांश रिसर्चर अपने टेस्ट और एक्सप्लॉइट्स सीधे फाउंड्री के साथ सॉलिडिटी (Solidity) में लिखते हैं।

सर्टोरा (Certora) के फॉर्मल वेरिफिकेशन टूलिंग के साथ, रिसर्चर गणितीय कॉन्ट्रैक्ट्स के रूप में कॉन्ट्रैक्ट बिहेवियर स्पेसिफिकेशन का उपयोग कर सकते हैं, और फिर वास्तविक बाइटकोड (bytecode) के विरुद्ध सत्यापन कर सकते हैं। कौशल और प्रयास के मामले में, यह सबसे चुनौतीपूर्ण तरीका है और इसे लागू करना भी सबसे कठिन है।

ट्रेल ऑफ बिट्स (Trail of Bits) के एक अन्य टूल, मैन्टीकोर (Manticore) डायनेमिक एनालिसिस करता है और इसका उपयोग स्वचालित रूप से ऐसे इनपुट उत्पन्न करने के लिए किया जा सकता है जो कॉन्ट्रैक्ट में कुछ खास कोड पाथ (code paths) अपनाते हैं — कुछ ऐसा जहाँ तक स्टैटिक एनालिसिस नहीं पहुँच सकता।

ऐसा कोई अकेला टूल नहीं है जो इनमें से किसी भी टूल से स्वचालित रूप से गंभीर कमजोरियों (critical vulnerabilities) को ढूंढ सके। वे संभावित उम्मीदवारों के दायरे को सीमित करते हैं और उन पर प्रकाश डालते हैं जिनका आकलन फिर एक इंसान को करना चाहिए। यदि कोई रिसर्चर ईवीएम असेंबली (EVM assembly) नहीं पढ़ सकता, ट्रांजैक्शन ऑर्डरिंग के बारे में तर्क नहीं कर सकता और सिस्टम स्तर पर डेफी (DeFi) प्रोटोकॉल के अर्थशास्त्र को नहीं समझ सकता, तो वे इनमें से किसी भी टूल के आउटपुट के साथ बहुत कुछ नहीं कर पाएंगे। ये टूल विशेषज्ञता के एम्पलीफायर (amplifiers) हैं, उसका विकल्प नहीं।

![](https://netts.io/blog/articles/crypto-bug-bounties-getting-paid-for-hacking-blockchain/images/Screenshot_2026-05-02_164608.png)

ये व्यावहारिक कठिनाइयाँ तकनीकी से कहीं आगे जाती हैं। प्रतिस्पर्धा तीव्र है। Code4rena या Sherlock पर एक ऑडिट कॉन्टेस्ट के दौरान दर्जनों डेवलपर्स एक ही समय में एक ही कोडबेस का अध्ययन करते हैं।

आमतौर पर एक रिसर्चर ही किसी गंभीर खोज (critical finding) का दावा करता है — वही समस्या खोजने वाले अन्य सभी लोगों को या तो कुछ नहीं मिलता या फिर बहुत मामूली रकम मिलती है। एक रिसर्चर जो किसी प्रतियोगिता में एक सप्ताह का समय देता है और उसे केवल मध्यम-गंभीर (medium-severity) मुद्दे ही मिलते हैं, वह शायद केवल कुछ सौ डॉलर ही कमा पाए। आय में अस्थिरता अधिक है और कमाई न होने का दौर (dry spells) एक वास्तविकता है।

हालांकि, किसी परिणाम को सिद्ध करना उसे हल करने जितना ही कठिन हो सकता है। व्यक्ति को एक्सप्लॉइटेबिलिटी (exploitability) का व्यावहारिक प्रदर्शन करना होता है (आमतौर पर एक वास्तविक प्रूफ-ऑफ-कांसेप्ट एक्सप्लॉइट के साथ)। कुछ लोग फिर से किसी गंभीर या मध्यम खोज के गंभीरता वर्गीकरण (severity classification) पर विवाद करते हैं, यह तर्क देते हुए कि कुछ पहलू उनकी स्थिति को कम (mitigate) करते हैं। वे रिसर्चर जो अपने काम को सावधानीपूर्वक दस्तावेज़ित नहीं करते हैं, और वे रिसर्चर जिनके पास प्रतिष्ठा से उत्पन्न प्रभाव की कमी है, वे महत्वपूर्ण खोजों के लिए कम भुगतान पा सकते हैं।

और अंत में, कानूनी और कर वातावरण अपने आप में एक जटिलता बन जाता है। अधिकांश बाउंटी किसी न किसी रूप में क्रिप्टो में दी जाती हैं — चाहे वह USDT, USDC, ETH हो या किसी प्रोटोकॉल का नेटिव टोकन। आय के रूप में USDT ट्रांसफर लेना एक कर योग्य घटना (taxable event) बन जाता है, जिससे प्राप्तकर्ता के लिए रिपोर्टिंग उद्देश्यों हेतु इसे बदलने से पहले प्राप्ति के समय इसके मूल्य को ट्रैक करना आवश्यक हो जाता है, और यदि भुगतान किसी डिजिटल संपत्ति के माध्यम से किया गया था, तो मूल्य में होने वाले किसी भी बदलाव पर पूंजीगत लाभ (capital gains) लागू होता है। बग बाउंटी वास्तविक ओवरहेड के साथ आती है — किसी भी व्यवसाय की तरह बग बाउंटी प्रैक्टिस स्थापित करने के लिए निवेश किए गए समय और ठोस परिणामों के बीच संतुलन बनाने की आवश्यकता होती है — यदि आप प्रशासनिक कार्यों की अनदेखी करते हैं, तो यह एक और समस्या बन जाती है जो धीरे-धीरे जटिल होती जाती है।

लेकिन गहरी चुनौती यह है कि इस काम में कमाई की कोई ऊपरी सीमा (high ceiling) तो है लेकिन कोई न्यूनतम आधार (zero floor) नहीं है। एक रिसर्चर जो प्रमाणित इतिहास के साथ वास्तविक विशेषज्ञता विकसित करता है — जिसने महत्वपूर्ण प्रोटोकॉल कमजोरियों (vulnerabilities) की खोज की है, जिसका नाम ऑडिट रिपोर्ट / पोस्टमॉर्टम में दिखाई देता है — वह बड़ी कंपनियों के वरिष्ठ इंजीनियरिंग वेतन के बराबर पैसा कमा सकता है। यहाँ तक पहुँचने के लिए या तो जन्म से ही एक अजीब आनुवंशिक पूर्व-स्थिति की आवश्यकता होती है, या फिर किसी विशिष्ट कौशल को निखारने में वर्षों का समय लगता है। लगभग हर कोई जो केवल इसी से अपनी आजीविका चलाने की कोशिश करता है, उसे जल्द ही पता चल जाता है कि सीखने का समय उम्मीद से कहीं अधिक लंबा है, प्रतिस्पर्धा ने उम्मीद से बेहतर तैयारी की है, और प्रशिक्षण के दौरान होने वाली आय खर्चों को पूरा करने के लिए पर्याप्त नहीं है।

इसका मतलब यह नहीं है कि यह एक बुरा क्षेत्र है। यह इसे एक ईमानदार क्षेत्र बनाता है। वही कौशल जो एक बग बाउंटी शोधकर्ता (bug bounty researcher) को सफल होने में मदद करते हैं — गहरी तकनीकी एकाग्रता, सिस्टम थिंकिंग, अनिश्चितता के बीच रचनात्मकता और किसी ऐसी चीज़ पर घंटों काम करने की इच्छा जिससे शायद निवेश पर कोई प्रतिफल न मिले — ठीक वही कौशल हैं जिनकी सुरक्षा विशेषज्ञों (security practitioners) द्वारा हर डोमेन में मांग की जाती है। जिस व्यक्ति ने क्रिप्टो सुरक्षा अनुसंधान के लिए आवश्यक स्तर तक इन कौशलों को विकसित कर लिया है, वह चुनाव करने की स्थिति में होता है। ऐसा ही एक करियर पथ बग बाउंटी का है, और इसे अपनाने वाले कुछ लोगों के लिए यह अवसर लगातार बढ़ रहे हैं।

![](https://netts.io/blog/articles/crypto-bug-bounties-getting-paid-for-hacking-blockchain/images/1-15.png)

यह USDT-आधारित वर्कफ़्लो चलाने वाले किसी भी व्यक्ति के लिए अच्छी खबर है — चाहे वह यह तय करना हो कि किसे कितनी बाउंटी दी जाए, कई सहयोगियों के बीच भुगतान को विभाजित करना हो, या बस इनाम को प्रोटोकॉल से बाहर ले जाना हो। Netts USDT ट्रांसफर कैलकुलेटर ठीक यही करता है: भेजने वाले और प्राप्त करने वाले के पते दर्ज करें और यह आपको सटीक रूप से बताता है कि लेनदेन के लिए कितनी एनर्जी (Energy) और बैंडविड्थ (Bandwidth) की आवश्यकता होगी, डिफ़ॉल्ट रूप से क्या बर्न (burn) होगा या मौजूदा संसाधनों का उपयोग किया जाएगा। साथ ही, यह पहले से USDT रखने वाले पते (13.84 TRX बनाम रेंटेड एनर्जी के लिए 2-3 TRX) और नए पते (27.70 TRX बनाम 4-5 TRX रेंटेड रिसोर्स) पर भेजने की लागत की तुलना भी दिखाता है — दोनों ही स्थितियों में 80% से अधिक की बचत!