---
title: "Crypto Bug Bounties: Pagsahod Mula sa Pag-hack ng Blockchain"
description: "Bago ang blockchain mayroong Netscape, Google, at Heartbleed. Ngayon nariyan na ang Immunefi, mga sampung milyong dolyar na payout, at mga smart contract na naghihintay na suriin nang husto."
language: tl
published: 2026-05-02
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/crypto-bug-bounties-getting-paid-for-hacking-blockchain?lang=tl
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# Crypto Bug Bounties: Pagsahod Mula sa Pag-hack ng Blockchain

Bago ang blockchain mayroong Netscape, Google, at Heartbleed. Ngayon nariyan na ang Immunefi, mga sampung milyong dolyar na payout, at mga smart contract na naghihintay na suriin nang husto.

Ang stereotype na hatid ng salitang "hacker" ay labis na matatag: isang binatang nakasuot ng itim na hoodie, madilim na nakatitig sa screen sa isang maliwanag na silid, nagnanakaw ng mga password ng mga taong labis ang tiwala sa internet. Ang imaheng iyon ay nanatili sa loob ng mga dekada ng tunay na kultura ng seguridad dahil ito ay isang madaling paraan upang gawing kontrabida ang isang bagay na masalimuot — at laging kapaki-pakinabang ang mga kontrabida. Ang karaniwang hindi mo gaanong naririnig ay ang katotohanang ang ilan sa pinakamagagaling na hacker ay nasa kabilang panig ng transaksyong iyon, naghahanap ng mga butas bago pa ito maunahan ng mga kriminal (at binabayaran para sa kanilang pagod). Ang gawaing ito ay may pangalan, isang institusyonal na kasaysayan, at isang propesyonal na estruktura na nagsimula ilang dekada pa bago naisip ang blockchain.

Ang orihinal na makabago at organisadong bug bounty program ay sinimulan noong Oktubre 10, 1995 ng Netscape. Gumagawa ang kumpanya noon sa Navigator 2.0, ang nangungunang browser nito noong panahong iyon, at naglabas ng pampublikong panawagan: humanap ng security bug, responsableng iulat ang kahinaang iyon sa kumpanya, at mabayaran para sa iyong mga pagsisikap. Bagamat maliit ang badyet ayon sa mga pamantayan ngayon — $50,000 na pinaghati-hatian para sa buong programa — ang ideya mismo ay tunay na orihinal. Sa diwa, inamin ng Netscape sa publiko na ang software nito ay may mga kahinaan na hindi nito matukoy sa loob at ang mga taga-labas ay maaaring nasa mas mabuting posisyon upang matuklasan ang mga ito. Higit pa sa pera, ito ang ipinahiwatig ng pag-amin na iyon.

Mabagal ang naging simula nito noong dekada 2000 at bumilis nang sumali ang malalaking platform. Noong 2010, inanunsyo ng Google ang Vulnerability Reward Program nito na ngayon pa lamang ay nakapagbayad na ng mahigit $12,000,000 sa mga researcher at higit sa $50,000,000 sa kabuuan hanggang sa kasalukuyan. Taong 2013 na nang sumunod ang Microsoft sa kalakaran gamit ang isang opisyal na programa, at ang Apple — na matagal nang tumanggi sa ideya — ay nagbukas din sa wakas ng sarili nitong pampublikong programa noong 2020. Sa kalagitnaan ng dekada 2010, karaniwan na ang mga bug bounty para sa anumang kumpanya ng teknolohiya na seryoso sa seguridad nito, kasabay ng pagsulpot ng mga serbisyo tulad ng HackerOne at Bugcrowd upang mapadali ang mga programa sa malaking antas sa pamamagitan ng pagpapares ng mga kumpanya sa mga freelance security researcher na buong-panahong nangangaso ng mga kahinaan.

![Crypto Bug Bounties: Pagsahod Mula sa Pag-hack ng Blockchain](https://netts.io/blog/images/body/f8770db0743a5bea71507f3118986e90b7237f3c-1031.webp)

Gayunpaman, hindi lahat ng malalaking pagtuklas sa seguridad ay naganap sa isang pormal na bounty program, at ang ilan sa mga may pinakamalaking epekto ay nagpakita kung ano ang maaaring mangyari kung wala ang mga ito. Noong 2014, dalawang koponan — si Neel Mehta ng Google at ang koponan sa Finnish firm na Codenomicon — ang independiyenteng nagbunyag ng isang malubhang depekto sa OpenSSL, ang cryptographic library na sumusuporta sa malaking bahagi ng lahat ng naka-encrypt na trapiko sa internet. Ang bagong tuklas na depektong ito, na tinawag na Heartbleed, ay nagbigay-daan sa isang umaatake na magbasa ng memory mula sa isang server (na hindi dapat nila ma-access), at hayagang naglantad ng mga private key, mga kredensyal na ginagamit ng sampu-sampung libong serbisyo, at data ng mga user. Walang bug bounty na makukuha noon. Bagamat responsableng iniulat ang kahinaan, mas matagal itong nanatiling lantad sa pagitan ng pagkatuklas at pag-patch kaysa sa nais nating isipin, at ang naging resulta ay mga buwang pagmamadali sa buong mundo para sa lahat ng bagay mula sa mga software patch, update sa content, at maging mga forward. Ang alternatibong senaryo — paano kung isang intelligence service ng gobyerno o kriminal na operasyon ang unang nakatuklas nito — ay sapat na nakababahala upang pabilisin ang pagpapatupad ng mga nakabalangkas na disclosure program sa buong industriya.

## Bakit Mas Kailangan ng Crypto ang mga White Hat Kaysa sa Karamihan

Dahil dito, ang problema sa seguridad sa blockchain ay may pagkakaiba sa estruktura (at sa panimula ay mas masalimuot) kaysa sa karaniwang problema sa seguridad ng software, na mahalaga pagdating sa pagpapaliwanag kung bakit naging napakahalagang bahagi ng larangang ito ang mga bug bounty.

Sa tradisyonal na software, ang isang kahinaan ay malubha ngunit limitado. Ang nakompromisong web application ng isang bangko ay maaaring magtagas ng data o magdulot ng pandaraya, ngunit ang pinsala ay napipigilan sa loob ng isang sistemang may mga batas, insurance, pagtukoy sa pandaraya, at kakayahang ibalik ang mga iligal na transaksyon. May paper trail ang pera. Ang isang umaatake ay hindi kumikilos nang nag-iisa sa kawalan.

Sa mga senaryo ng pagkalugi sa DeFi naman: ang isang matagumpay (o hindi) na exploit ay nagaganap sa halos bawat aspeto sa kakaibang paraan. Sa loob ng ilang segundo, ang lahat ng pondo sa isang protocol ay maaaring maubos kung ang isang intruder ay magsasamantala sa timing flaw sa smart contract. Kung magtagumpay, ang umaatake ay nakakuha ng cryptocurrency na hindi lamang mahirap i-trace, kundi halos imposibleng mabawi nang walang pakikipagtulungan ng may-ari nito. Walang sinuman ang makapagpapawalang-bisa sa transaksyon dahil walang sentral na awtoridad. Sa anumang sandali, bilyun-bilyong dolyar ang permanenteng nakalagay sa mga smart contract na ito na hayagang nababasa ng publiko at awtonomong kumikilos. Ang iyong code ay ang iyong produkto, at ang iyong produkto ay isang vault. Ito ay unahan para sa halos bawat mekanismo, kung saan ang tanging sandigan ay ang hindi mababagong tala sa on-chain.

Ito ang nagiging dahilan kung bakit napaka-urgent ng labanan ng sibat laban sa kalasag sa crypto. Mula sa sandaling mag-deploy ka ng anumang protocol na may value fork, ito ay bukas na bilang attack vector mula sa unang araw. Ang mga umaatake ay hindi watak-watak. Ang ilan ay may kaugnayan sa mga nation-state, ang ilan ay mga advanced na organisasyong kriminal, at marami pang iba ang sadyang may hawak ng kaalaman sa kawalan ng moralidad at pagiging eksperto sa Solidity; may hawak silang pera at nagmamasid na parang lawin sa bawat ide-deploy. Ang paghihintay na umalis ang mga user dahil sa mga isyu sa seguridad ay hindi isang napapanatiling estratehiya sa negosyo. Hindi, ang tanging opsyon ay hanapin ang mga kahinaang iyon bago pa ito magawa ng iba — at umupa ng mga taong may sapat na talento upang matuklasan ito.

Ang pag-audit at penetration testing — ang pagkuha sa isang security firm upang suriin ang code bago mo ito i-deploy — ay kailangan, ngunit hindi talaga sapat. Ang mga audit ay karaniwang may takdang oras at isinasagawa ng mga pangkat na may limitadong laki. Ang isang "smart" contract system ay maaaring magkaroon ng milyun-milyong potensyal na daan para sa mga interaksyon at ang isang audit team na nasa ilalim ng limitasyon sa oras ay ang mas kapansin-pansin lamang ang masusuri. Dinadala ng mga bug bounty program na ito ang paghahanap sa mas malawak na abot-tanaw, at nakikipagtulungan sa isang pandaigdigang grupo ng mga researcher na may iba't ibang background, iba't ibang mental model, at walang takdang panahon. Ang kumbinasyon ng dalawa — komprehensibong internal audit bago ang mainnet, pagkatapos ay isang permanenteng bounty program — ang karaniwang pamantayan para sa mga may pagpapahalaga sa seguridad ng protocol sa panahong ito.

## Kalkulasyon ng CEO sa Pagitan ng Isang Libong Dolyar o Isang Milyon

Ang dahilang pang-ekonomiya para sa mga bug bounty program ay sapat na malinaw upang hindi na mangailangan ng paliwanag; gayunpaman, sa pagsasagawa ay kailangan pa rin ito dahil ang gastos ay nararamdaman ngayon, habang ang natitipid ay teoretikal at nakakalat sa mahabang panahon.

Ang isang protocol na may $10,000 na bounty para sa kritikal na kahinaan ay gumastos ng $10K sa seguridad nito. Ito ang parehong protocol na maaaring hindi magpakita ng anumang kahinaan (nakita lamang natin ang isang malisyosong aktor na sinamantala ito), at maaari na ngayong mawala ang lahat ng naipon nito, sampu-sampung milyon ang mabilis na maglalaho kalakip ang napakarami pang suliranin na dapat alalahanin, na sa katunayan ay karaniwang nagiging dahilan ng tuluyang paghinto ng operasyon. Ang bounty ay hindi isang gastos — ito ay isang paunang bayad sa insurance bago pa man mangyari ang nakasegurong insidente. Walang halaga ng pakikipagtalo ang makapagbibigay ng kinakailangang unawa upang ipaliwanag ang kalkulasyong ito bago ang paglunsad — bawat CEO na nakaranas na ng malaking exploit ay lubos itong nauunawaan. Ang mga hindi pa nakararanas nito ay itinuturing lamang ang gastusin sa seguridad bilang isa na namang operational cost na dapat bawasan upang masunod lamang ang kahilingan sa pagsunod.

![Crypto Bug Bounties: Pagsahod Mula sa Pag-hack ng Blockchain](https://netts.io/blog/images/body/ded9986e7297b88e3ccbff8b4b88b8c3b88bd36d-1440.webp)

Ang data ng gastos ay ibinibigay ng kasaysayan ng mga exploit sa DeFi. Bilang halimbawa, noong 2022 lamang, ang Ronin Network bridge ay dumanas ng pagkawala ng $625 milyon. At isa pang bridge, ang Wormhole, ay na-hack noong Enero sa halagang $320 milyon. Sa Nomad Bridge — $190 milyon ang nawala dahil nagawa ng bawat user na simutin ang protocol nang matukoy ang paunang pattern ng pag-atake — isang kahinaan na maaaring nagkakahalaga lamang ng $50,000 sa mga bounty upang matuklasan at maisara. Hindi ito mga pambihirang kaso. Ito ang opisyal na rekord ng mga nangyayari sa isang kapaligirang may mataas na halaga kung saan ang paghahanap ng mga 'butas' sa red teaming ay may napakalaking gantimpala at walang anumang gastos sa pagsasamantala.

Ang panganib na hindi gaanong nababanggit ay may ibang direksyon. Ang isang protocol na nagbubukas ng bug bounty program bago pa ito maging sapat na handa para rito ay tila nagbabayad ng hayagang paanyaya upang hanapin ang lahat ng nakaligtaan ng internal team nito — at kung hindi maayos ang pagkaka-audit sa codebase, maaaring halos lahat ay ganoon nga. Halimbawa, ang isang programang may limitasyong $100,000 na magsisimula laban sa isang contract system na may dalawampung kritikal na kahinaan ay maaaring dumanas ng sabay-sabay na mga disclosure na uubos sa buong badyet ng bounty sa loob ng ilang araw; habang nagdudulot sa protocol na hindi na gumana nang ligtas. Isipin ang senaryong ito na nagpapahintulot sa ating sabihing marami sa mga naunang proyekto sa DeFi ang napunta sa ganitong sitwasyon: isang bounty program ang pampublikong inihayag, at nagsimulang pumasok ang mga ulat na nagpapakitang pahapyaw lamang ang internal audit; gayunpaman, mabilis na nahigitan ng mga gastos sa pagsasaayos ang inilaan ng team para sa kanilang buong pamamaraan sa seguridad. Ang aral sa kwento ay hindi dahil mapanganib ang mga bug bounty — kundi dahil umaasa ang mga ito sa isang pinakamababang pamantayan ng kalidad ng code. Natutuklasan ng mga protocol ang kanilang pinakamasasamang problema sa pinakamasamang paraan sa pamamagitan ng paglulunsad ng isang bounty program bilang kapalit ng malalimang gawaing panloob sa seguridad sa halip na maging karagdagan dito.

Ang pagkatuklas sa mga aral na iyon ay nagbunga ng sumusunod na tunay na pagkakasunod-sunod: internal review, isa o higit pang panlabas na audit ng mga pinagkakatiwalaang kumpanya, at pagkatapos ay ang production na may permanenteng bug bounty. Ang iba ay nagsasama ng karagdagang hakbang ng unti-unting pagpapatupad — paglilimita sa pinakamataas na value-at-risk ng protocol para sa isang takdang panahon habang bukas ang bounty, at pagpapalawak lamang ng liquidity kapag walang mga kritikal na pagkabigo ang lumitaw. Ito ay mas mabagal at kadalasang mas magastos kaysa sa basta na lamang pagpapakawala ng produkto. Ang alternatibo naman kung minsan ay nagiging sakuna.

## Ekosistema: mga platform, programa, at mga rekord na payout

Ang imprastraktura ng crypto bug bounty ay lumago nang malaki mula noong mga unang araw ng mga impormal na email para sa disclosure at pabago-bagong gantimpala.

Ang Immunefi ang pinakamalaking platform sa larangan at inilunsad noong Disyembre 2020. Nakapamahagi na ito ngayon ng mahigit $100 milyon sa mga researcher para sa mahigit 3,000 ulat ng bug, at sinasabing nakatulong na maiwasan ang mga pagkalugi ng higit sa $25 bilyon sa hindi bababa sa 500 protocol sa unang bahagi ng 2026. Nagsisilbi ang platform sa isang komunidad ng humigit-kumulang 45,000 rehistradong security researcher, sumusuporta sa mga nakabalangkas na proseso ng disclosure, at namamagitan sa mga negosasyong nagaganap sa pagitan ng mga researcher at protocol sa klasipikasyon ng kalubhaan at halaga ng payout. Kumukuha ang Immunefi ng bahagi mula sa mga bounty payout, na may makatwirang pag-ayon sa kanilang mga insentibo sa parehong panig ng merkado: mas nagiging maayos ang kanilang kalagayan kapag nakakahanap ang mga researcher ng mga totoong bug at binabayaran sila ng mga protocol.

![Crypto Bug Bounties: Pagsahod Mula sa Pag-hack ng Blockchain](https://netts.io/blog/images/body/248fe0ddb5726d3e120782564dc799f3b0384656-1440.webp)

Ang pinakamalaking solong payout sa kasaysayan ng platform ay nananatiling ang $10 milyong gantimpala na ibinayad noong Pebrero 2022 sa isa sa mga researcher nito na gumagamit ng pangalang "satya0x" para sa pagtuklas ng isang uninitialized proxy vulnerability sa Wormhole bridge. Ang kahinaan, kung napagsamantalahan, ay maaaring maglantad ng mga naka-lock na mapagkukunan na nagkakahalaga ng humigit-kumulang $736 milyon. Responsableng iniulat ito ng researcher at iginawad sa kanya ang itinuring noon na pinakamalaking kilalang bayad sa bug bounty kailanman. Noong Disyembre 2021, binili ng Polygon ang isang kritikal na bug mula sa researcher na si Leon Spacewalker sa halagang $2.2 milyon na maaaring nagpahintulot sa pag-mint ng hanggang 9.3 bilyong MATIC token — katumbas ng bilyun-bilyong dolyar ang halaga, sa mga presyo ng currency noong panahong iyon. Napakalinaw ng kalkulasyon sa magkabilang panig: malaki ang bounty sa tiyakang halaga at maliit kaugnay sa kung ano ang maaaring nawala mula sa mga napigilang pag-atake.

Ang mga nakalaang programa ng insentibo na pinatatakbo sa antas ng protocol ay umabot na ngayon sa mga halagang mahirap isipin ilang taon pa lamang ang nakalilipas. Ang Pinakamataas na Payout ay $15.5 Milyon para sa mga Kritikal na Kahinaan sa v4 program ng Uniswap. Ang LayerZero ay may mga bukas na bounty na $15 milyon. Noong 2026, ang pinakamataas na payout ng Ethereum Foundation ay itinaas sa $1 milyon. Hindi lamang dapat tumugma ang mga bilang na ito sa halaga ng nais protektahan ng mga protocol na ito, kundi kailangan din nitong umayon sa kalidad ng researcher na nais mong makaakit ng pansin — ang limitasyong $1,000 ay hindi magbibigay-insentibo sa isang taong may kakayahang sumamantala sa isang game-breaking na kahinaan sa isang multibillion-dollar na protocol.

Medyo naiiba ang Code4rena at Sherlock, nagpapatakbo ka ng isang mapagkumpitensyang audit contest sa loob ng isang tinukoy na takdang panahon, kung saan maraming researcher ang sabay-sabay na sumusuri sa codebase at tumatanggap ng mga bahagi mula sa kabuuang prize pool batay sa kalubhaan at bisa ng mga natuklasan. May komunidad ng +8,300 rehistradong auditor at +24,000 natatanging natuklasan sa lahat ng audit ng Code4rena. Mayroong higit sa 175 na ganoong contest na isinagawa ang Sherlock. Binabago ng isang mapagkumpitensyang format ang estruktura ng insentibo; nahihikayat ang mga researcher na maghanap ng mga problemang maaaring malampasan ng iba dahil ang mga natuklasan sa malalaking bilang ay kadalasang tumatanggap lamang ng maliit o walang payout. Sa pangkalahatan, naglalantad din ito ng mga isyu sa mas malaking saklaw kaysa sa hiwalay na magagawa ng sunud-sunod na mga audit o mga open-ended na bounty program. Ang mga programa sa crypto para sa iba pang may hawak ng Bitcoin Cash tulad ng Coinbase at MakerDAO ay patuloy pa ring naka-host sa github. Sa buong aktibong merkado ng bug bounty sa Web3, higit na ngayon sa USD 162M ang iniaalok na bounty sakaling may hindi maganap ayon sa plano, na kumakatawan kapwa sa laki ng nakataya at isang indikasyon ng landas ng propesyonalisasyon na tinahak ng maraming researcher.

## Pagsusuri sa Kahusayan at Kung Bakit Hindi Ito Madaling Pera

Ang imahe ng isang bug bounty hunter bilang isang taong nakakita ng kahinaan sa isang hapon at kumita ng anim na tambilang na payout ay hindi sinusuportahan ng katotohanan ng trabaho. Ang mga nagsasagawa nito na kumikita nang maayos sa pagsasaliksik ng seguridad sa larangan ng crypto ay karaniwang mga espesyalista, na ang daan upang maging ganoon ay nangangailangan ng maraming taon ng teknikal na paghahanda sa mga larangang bihirang pasukin ng karamihan sa mga developer.

Ang paghahanap ng mga depektong may pinakamataas na kalubhaan sa smart contract code sa production ay nangangailangan ng kadalubhasaan sa Ethereum Virtual Machine — hindi lamang ang pagkaalam kung paano sumulat ng Solidity, kundi ang pag-unawa kung ano ang nabubuo nito kapag na-compile, kung ano ang tunay na ginagawa ng EVM habang nagpapatupad ng bytecode, at kung anong mga katangian ng wika ang garantisado o alam na ginagawa ng compiler nito kumpara sa kanilang mga potensyal na edge case na maaaring maging mga isyu sa seguridad kapag isinama sa mga pagpili sa pag-optimize ng gas na ginagawa ng mga developer na kapos sa pondo sa ilalim ng deadline. Nangangailangan ito hindi lamang ng pag-unawa sa mga karaniwang uri ng kahinaan — reentrancy, integer overflow, manipulasyon sa flash loan, manipulasyon sa presyo ng oracle, mga pagkabigo sa access control, mga kahinaan sa pagsisimula — kundi pati na rin ang kakayahang makakita ng mga bagong attack vector na hindi tumutugma sa anumang kilalang pattern. Ang mga pinakakapaki-pakinabang na natuklasan ay ang mga bagay na walang sinumang naghahanap.

Ang hanay ng mga kagamitan na dala ng mga researcher para sa gawaing ito ay lumago nang malaki at kinabibilangan na ngayon ng mga tool na sa karamihan ng mga kaso ay hindi maipagkakaiba sa gagamitin ng isang malisyosong aktor:

Ang Slither, isang static analysis framework na binuo ng Trail of Bits, ay maaaring mag-scan ng iyong Solidity code laban sa 40 kilalang pattern ng kahinaan at magbigay sa iyo ng nakaayos na resulta. Ito ay isang unang hakbang, hindi ito ang huli — mayroon itong mga false positive at ganap na nakaliligtaan ang mga kahinaan sa logic-layer.

Ginagamit ng Mythril ang symbolic execution upang libutin ang mga posibleng estado ng isang contract at sinusuri kung mayroong anumang maaabot na estado na lumalabag sa ilang partikular na katangian ng seguridad na tinukoy ng researcher. Gayunpaman, ito ay magastos at nagbibigay-daan lamang para sa mababaw na pagsusuri ng mga kumplikadong contract.

Ito ay isang property-based fuzzer: kapag binigyan ng isang hanay ng mga invariant na dapat palaging matugunan ng isang contract, ipapasa ng researcher ang mga ito sa Echidna na magpapatupad ng libu-libong random na pagkakasunod-sunod ng transaksyon sa pagtatangkang sirain ang mga ito. Lalo kaming mahusay sa paghahanap ng mga edge case sa arithmetic at logic ng pamamahala ng estado.

Ang karamihan sa seryosong pananaliksik sa seguridad ay ginagawa na ngayon gamit ang Foundry dahil mayroon itong napakaliit na distansya mula sa 'Sa tingin ko gagana ito' → 'Kaya kong patunayan na gumagana ito', lalo na't karamihan sa mga researcher ay direktang nagsusulat ng kanilang mga pagsubok at exploit sa Solidity gamit ang foundry.

Gamit ang pormal na verification tooling ng Certora, maaaring gumamit ang mga researcher ng mga detalye ng gawi ng contract sa anyo ng mga mathematical contract, at pagkatapos ay mag-verify laban sa aktwal na bytecode. Ito ang pinakamahirap na paraan at pinakamahirap ding ipatupad, batay sa kasanayan at pagsisikap.

Isa pa sa mga kagamitan ng Trail of Bits, ang Manticore ay nagsasagawa ng dynamic analysis at maaaring magamit upang awtomatikong lumikha ng mga input na dumaraan sa ilang partikular na daan ng code sa contract — isang bagay na hindi maabot ng static analysis.

Walang nag-iisang tool na awtomatikong nakakahanap ng mga kritikal na kahinaan mula sa alinman sa mga kagamitang ito. Nililimitahan lamang nila ang lawak ng mga potensyal na kandidato at itinatampok ang mga dapat suriin ng isang tao. Kung ang isang researcher ay hindi marunong magbasa ng EVM assembly, mag-isip tungkol sa pagkakasunod-sunod ng transaksyon, at umunawa sa ekonomiya ng isang DeFi protocol sa antas ng sistema, hindi nila gaanong mapakikinabangan ang resulta ng alinman sa mga tool na ito. Ang mga tool na ito ay tagapagpalakas ng kadalubhasaan at hindi mga kapalit para dito.

![Crypto Bug Bounties: Pagsahod Mula sa Pag-hack ng Blockchain](https://netts.io/blog/images/body/09da4280291ee427904e2ebb93d8640edb7a7f6a-1242.webp)

Ang mga praktikal na suliraning ito ay higit pa sa teknikal na aspeto. Matindi ang kompetisyon. Sa panahon ng isang audit contest sa Code4rena o Sherlock, dose-dosenang mga developer ang sabay-sabay na nag-aaral sa parehong codebase. Karaniwang isang researcher lamang ang nag-aangkin ng isang kritikal na natuklasan — ang lahat ng iba pang nakahanap ng parehong problema ay walang nakukuha o labis na barya lamang. Ang isang researcher na naglaan ng isang linggo sa isang contest at nakahanap lamang ng mga isyung may katamtamang kalubhaan ay maaaring mag-uwi lamang ng dalawang daang dolyar. Mataas ang pabago-bagong kita at totoo ang mga panahong walang kinikita.

Gayunpaman, ang pagpapatunay sa isang resulta ay maaaring maging kasinghirap ng paglutas dito. Kailangang gumawa ng isang praktikal na pagpapakita ng kakayahang ma-exploit (karaniwan ay may aktwal na proof-of-concept exploit). Muli ring tinututulan ng ilan ang klasipikasyon ng kalubhaan ng isang kritikal o katamtamang natuklasan, na nangangatwirang may ilang aspeto na nagpapababa sa kanilang katayuan. Ang mga researcher na hindi maingat na nagdodokumento ng kanilang trabaho, at ang mga researcher na walang kapangyarihang nagmumula sa reputasyon, ay maaaring makatanggap ng mas mababang bayad para sa mahahalagang pagtuklas.

At sa huli, ang legal at kapaligiran ng buwis ay nagiging isa ring komplikasyon sa sarili nito. Ang karamihan sa mga bounty ay binabayaran sa ilang uri ng crypto — maging ito ay USDT, USDC, ETH, o native token ng isang protocol. Ang pagtanggap ng USDT transfer bilang kita ay nagreresulta sa isang mabubuwisang kaganapan na lumilikha ng pangangailangan para sa tatanggap na subaybayan ang halaga sa pagkatanggap bago ito i-convert para sa mga layunin ng pag-uulat at maranasan ang mga capital gain sa anumang paggalaw ng presyo kung ang payout ay ginawa sa pamamagitan ng ilang uri ng digital asset. Ang mga bug bounty ay may kasamang tunay na pasanin — ang pagtatatag ng gawain sa bug bounty, tulad ng anumang negosyo, ay nangangailangan ng pagbabalanse ng mga kapalit sa pagitan ng inilaang oras at mga nahahawakang resulta — kung babalewalain mo ang mga bagay na administratibo, ito ay nagiging isa pang problemang tahimik na lumalala.

Ngunit ang mas malalim na hamon ay ang gawaing ito ay may mataas na limitasyon sa itaas at walang pinakamababang sahod para sa mga kinikita. Ang isang researcher na nagkakaroon ng tunay na kadalubhasaan na may napatunayang kasaysayan — isang nakatuklas ng mga kritikal na kahinaan sa protocol, na ang pangalan ay lumilitaw sa mga ulat ng audit / postmortem — ay maaaring kumita ng perang maihahambing sa mga suweldo ng senior engineer sa mga malalaking kumpanya. Nangangailangan ito ng alinman sa isang kakaibang henetikong kundisyon na mayroon ka mula sa kapanganakan, o mga taon ng paghasa sa isang partikular na kasanayan upang marating iyon. Halos sinumang sumusubok na mabuhay mula lamang dito ay mabilis na natutuklasan na ang oras ng pagkatuto ay mas matagal kaysa sa inaasahan, ang kompetisyon ay mas naghanda kaysa sa inaasahan, at habang nagsasanay pa, ang kita ay sadyang hindi sapat upang mabayaran ang mga gastusin.

Hindi iyon nangangahulugang isa itong masamang larangan. Ginagawa lamang nitong tapat ang larangan. Ang mismong hanay ng kasanayan na nagpapahintulot sa isang bug bounty researcher na magtagumpay — malalim na teknikal na pokus, pag-iisip sa antas ng sistema, pagiging malikhain sa harap ng kawalan ng katiyakan, at kahandaang magtrabaho nang maraming oras sa isang bagay na maaaring hindi magbigay ng anumang kapalit sa ginugol — ay ang eksaktong hanay ng kasanayan na ninanais ng mga propesyonal sa seguridad sa bawat larangan. Ang isang taong nakabuo ng mga kasanayang iyon sa antas na kinakailangan para sa pananaliksik sa seguridad ng crypto ay nasa posisyong pumili. Ang isa sa gayong karera ay ang landas ng bug bounty, at lalo na para sa iilang nagpapatuloy dito.

![Crypto Bug Bounties: Pagsahod Mula sa Pag-hack ng Blockchain](https://netts.io/blog/images/body/46741b6610f0bf16503bc74c3671db4f62dfbdfe-1440.webp)

Ito ay magandang balita para sa sinumang nagpapatakbo ng workflow na nakabatay sa USDT — mula sa pagpapasya kung sino ang babayaran ng anong bounty, hanggang sa paghahati ng mga payout sa pagitan ng maraming katuwang, o simpleng paglilipat ng gantimpala palabas ng protocol. Ginagawa mismo iyan ng Netts USDT Transfer Calculator: ilagay ang mga address ng nagpadala at tagatanggap at sasabihin nito sa iyo nang tumpak kung gaano karaming Energy at Bandwidth ang kakailanganin para sa transaksyon, kung ano ang sinusunog laban sa default o kung ang mga umiiral na resource ay ginagamit kasama ang isang paghahambing ng mga gastos sa pagpapadala sa isang address na may hawak nang USDT (13.84 TRX vs 2-3 TRX para sa nirentahang Energy), bago (27.70 TRX vs 4-5 TRX na nirentahang resources) — mahigit 80% na pagtitipid sa alinmang paraan!