‘최대 100만 달러’는 프로그램 상한이지 특정 보고의 지급액이 아니다. 실제 보상은 당시 scope, 입증한 impact, severity 기준, 즉시 위험 자금, 중복·기존 이슈 여부, PoC와 publication policy에 따라 결정된다. 지급 완료를 말하려면 프로젝트·플랫폼 확인, 허용된 지급액 공개, 온체인 거래 또는 연구자 확인처럼 개인정보를 침해하지 않는 증거가 필요하다.
Maximum bounty는 실제 지급 약속이 아니다
프로그램 페이지의 가장 큰 숫자는 특정 조건을 모두 충족한 최상위 보고의 상한이다. 보고자가 critical이라고 주장해도 triage에서 high·medium·out-of-scope로 판정될 수 있다. 기사 제목에 최대액을 실제 지급액처럼 쓰지 않는다.
Immunefi 프로그램 사례는 critical smart-contract reward를 직접 영향 자금의 일정 비율과 최대액으로 계산하고 최소액·PoC·생산 상태 조건을 둔다. 같은 플랫폼에서도 프로젝트별 scope, primacy of impact/rules, 지급 자산과 KYC가 다르다.
버그바운티의 큰 숫자는 광고판이고 실제 지급액은 scope·impact·증거·규칙의 교집합이다.
JOBCOIN 해설
그림은 이 주제의 공통 개념을 단순화한 설명입니다. 아래 항목에서 이 글의 구체적인 조건과 예외를 함께 읽어보세요.
- Maximum bounty는 실제 지급 약속이 아니다
프로그램 페이지의 가장 큰 숫자는 특정 조건을 모두 충족한 최상위 보고의 상한이다.
- 심각도는 이름보다 입증된 영향으로 읽는다
자금 탈취, 영구 동결, governance takeover, 웹 계정 탈취는 영향 종류가 다르다.
- 유효 판정과 지급은 다른 단계다
취약점이 유효해도 금액 협의, 패치 확인, 송장·세금·KYC, 제재 지역 심사를 거쳐 지급될 수 있다.
AI로 제작한 개념도 · 실제 가격·거래 내역·통계가 아닙니다.
심각도는 이름보다 입증된 영향으로 읽는다
자금 탈취, 영구 동결, governance takeover, 웹 계정 탈취는 영향 종류가 다르다. 공격에 관리자 권한·사용자 서명·특정 유동성·큰 자본이 필요한지도 exploitability를 바꾼다. 미래 예치금까지 위험액에 넣지 않는다.
공개 프로그램은 submission 시점 생산 상태, 영향 계약, 권한, 유동성, 거래 순서와 최대 손실을 mainnet fork PoC로 보이도록 요구할 수 있다. 단위 테스트만으로 실전 가능성을 입증했다고 보지 않는다.
| 숫자 | 의미 | 근거 |
|---|---|---|
| 최대액 | 가능한 상한 | program page |
| severity | impact·exploitability 분류 | 정책과 triage |
| funds at risk | 당시 직접 영향 가능액 | PoC·상태·유동성 |
| 결정액 | 프로젝트·플랫폼 합의 | 공식 스레드 |
| 지급액 | 실제 송금 | 허용된 영수증·수령 확인 |
유효 판정과 지급은 다른 단계다
취약점이 유효해도 금액 협의, 패치 확인, 송장·세금·KYC, 제재 지역 심사를 거쳐 지급될 수 있다. award announced와 paid를 분리한다. USDC인지 법정화폐인지, USD 표시액의 환산 시점도 확인한다.
보고자가 익명을 원하면 지갑과 신원을 억지로 연결하지 않는다. 온체인 거래가 공개돼도 그 주소가 연구자 것이라는 공식 연결이 없을 수 있다. 개인정보 없이 플랫폼 paid 상태나 양측 발표로 확인할 수 있다.
중복·감사·scope 제외를 확인한다
같은 원인이 먼저 보고됐거나 audit에 이미 공개된 이슈는 보상 대상이 아닐 수 있다. 영향이 커도 프로그램에 없는 자산·버전·도메인일 수 있다. primacy of impact가 있으면 소유 자산의 영향이 우선될 수 있지만 모든 프로그램에 적용되지는 않는다.
연구자는 공격을 증명하려고 mainnet에서 테스트해서는 안 된다. Immunefi 일반 규칙은 mainnet·public testnet contract 테스트를 금지한다. 허용된 local fork와 PoC 요구를 따른다.
- 사건 당시 program page와 규칙 버전을 보존한다
- asset·impact·version scope와 중복을 확인한다
- production-state PoC와 funds at risk를 검산한다
- 결정액·지급액·지급 자산·환산 시점을 구분한다
- publication category가 허용한 증거만 공개한다
공개 가능한 지급 증거에도 한계가 있다
publication category에 따라 payout amount나 project name 공개에 notice 또는 허가가 필요할 수 있다. 공개가 없다고 미지급이라고 단정할 수 없고 연구자의 스크린샷만으로 프로젝트 설명을 확정하기도 어렵다.
공식 발표가 largest bounty라고 주장하면 통화·시점·플랫폼 범위를 확인한다. 비공개 추가 보상이 있을 수 있어 세계 최대 같은 순위는 검증하기 어렵다. 특정 프로그램의 공개 사례라고 범위를 좁힌다.
보상액보다 수정 완료를 함께 본다
큰 지급은 발견 인센티브가 작동했다는 신호일 수 있지만 서비스가 안전해졌다는 증거는 아니다. 영향 버전, patched version, 운영 배포, 남은 fork와 파생 프로젝트를 확인한다. 동일 코드의 다른 체인 배포가 누락될 수 있다.
좋은 공시는 연구자 기여, 영향·심각도 근거, 수정 범위, 재발 방지와 지급 상태를 연결한다. 보상액만 공개하면 이용자가 필요한 업데이트를 판단할 수 없다.
자주 묻는 질문
최대 바운티가 100만 달러면 critical은 모두 100만 달러인가요?
아니다. 상한이며 실제 영향액·정책·계산에 따라 달라진다.
온체인 지급 거래가 없으면 미지급인가요?
법정화폐·플랫폼 정산일 수 있고 비공개 조건도 있다.
mainnet에서 공격을 시험해도 되나요?
프로그램 규칙을 따라야 하며 많은 프로그램은 금지하고 local fork PoC를 요구한다.
더 깊이 읽기
본문에서 다룬 개념과 확인 절차를 다음 글에서 이어서 살펴보세요.
