Bug bounty

Todo contrato inteligente en producción es una invitación permanente. Si guarda dinero y tiene una falla, tarde o temprano alguien irá a buscarla. Un bug bounty cambia el incentivo al darle a quien encuentra la falla una vía legítima y paga para reportarla, de modo que revelarla convenga más que atacar.

Cómo funciona un bug bounty

Un programa publica un alcance (qué contratos, sitios web y sistemas cubre), un conjunto de reglas y una tabla de recompensas. Un investigador que encuentra un problema envía un reporte privado con suficiente detalle para reproducirlo. El equipo confirma el problema, lo corrige y paga una recompensa según la gravedad. Las reglas típicas prohíben hacer pruebas con fondos reales de usuarios, exigen mantener el problema en privado hasta que se corrija y excluyen los problemas ya conocidos y los ataques que dependen de claves robadas.

Cómo se fijan las recompensas

Las recompensas suelen seguir niveles de gravedad. Un problema crítico, que podría llevar a una pérdida directa de fondos, es el que más paga, a menudo con un tope vinculado al valor en riesgo; los problemas altos, medios y bajos pagan cada vez menos. El razonamiento es económico. Si la recompensa es pequeña al lado de lo que podría llevarse un atacante, algunos descubridores se verán tentados, por eso los programas serios en DeFi ofrecen recompensas que pueden ser altas. Pagar rápido y de forma justa importa tanto como el monto, porque los investigadores recuerdan qué equipos cumplen con sus programas.

Un ejemplo sencillo

Una investigadora nota que la función de retiro de un vault redondea a favor del usuario en un caso límite poco frecuente. Repetido muchas veces en una transacción, el error podría vaciar el vault poco a poco. Ella describe los pasos en privado. El equipo reproduce el error, pausa la función afectada, publica una corrección y paga una recompensa de gravedad alta. No se pierden fondos, y el problema se divulga públicamente cuando la corrección ya está en vivo.

Bug bounty vs. auditoría

Una auditoría de contratos inteligentes es una revisión programada y con alcance definido, hecha por un equipo contratado en un momento dado. Un bug bounty es abierto: cualquiera puede mirar mientras el programa esté vigente, y el pago depende de los resultados. Las auditorías son más fuertes antes del lanzamiento; los bounties siguen pagando por la atención después, cuando el código está en vivo y lo que está en juego es real. El monitoreo en tiempo de ejecución agrega una tercera capa al vigilar las transacciones mientras ocurren.

Riesgos y límites

Un bounty solo funciona si un investigador encuentra el error antes que un atacante, y si la recompensa vale su tiempo. El alcance importa: un problema fuera de los contratos listados puede no calificar, lo que puede desviar la atención hacia otro lado. Los programas que pagan tarde o disputan hallazgos válidos pierden la confianza de la comunidad de investigación. Un bounty tampoco corrige nada por sí solo; el equipo igual tiene que responder rápido, y algunos errores tardan en corregirse de forma segura una vez reportados. Que exista un programa dice poco sobre su calidad. Su alcance, sus reglas y su historial de pagos dicen más que el monto de su recompensa máxima.

Tori Finance tiene su propio programa interno de bug bounty, que recompensa a los investigadores que reportan de forma responsable vulnerabilidades en su código. El programa es independiente de las auditorías de contratos inteligentes y del monitoreo en tiempo de ejecución, y mantiene el código bajo revisión mientras está en vivo.