Immunefi 推出积分系统：向超过700名安全研究员返还有效漏洞报告的提交费用
Immunefi 正式推出了全新的积分系统，旨在将有效漏洞报告的提交费用返还给包括那些因发现重复漏洞或私有已知问题而被关闭报告的研究员在内的超过700名安全研究员。根据 Immunefi 于11月2日发布的公告，该计划覆盖自今年年初开始收取费用以来提交的符合条件的报告，余额将自动计入账户。研究员无需提交申请或完成单独的注册流程。
核心规则与权益说明
- 积分价值：每个积分等值于1美元。研究员可以使用 USDC 购买积分，积分可用于支付提交费、调解费以及账户验证费用。未来在 Immunefi Studio 公开上线后，也将支持使用该积分。
- 有效期：所有积分（无论是赚取还是购买）在进入账户后的12个月内有效。平台将优先使用最早进入账户的积分。对于此次回溯性发放的积分，将从发布之日起给予完整的12个月有效期。
- 独立性：积分奖励与研究人员的赏金奖励完全独立。符合条件的研究人员在获得正常赏金的同时，还将获得与相关费用相等的积分。
- 不可转让：积分无法提现或转让给他人。
适用范围与排除条款
该政策的追溯效力始于3月24日的漏洞赏金项目和4月10日的审计竞赛。具体资格认定如下：
- 有效发现：一旦通过赏金计划付款或在审计竞赛中确认（包括被采纳的建议），原始发现即有资格获得积分。
- 重复报告：当原始报告有效时，无论有多少名研究员独立发现了同一漏洞，重复报告均有资格获得积分。
- 成功调解：成功的调解将为提交费和调解费双方带来积分。
- 私有已知问题：协议方有时会在修复准备就绪前注册其无法公开的漏洞，导致研究员无法得知其发现已被记录。此类“私有已知问题”若显示注册日期或公共来源，则按已知问题处理；若均未显示，则视为私有问题以获取积分。如果协议方在研究员提交后才注册该问题，报告仍有资格获得积分。
以下情况不符合积分资格：公开披露的漏洞、无效报告、超出范围提交、违反政策的行为以及被拒绝报告的重复项。研究员不得通过再次提交自己的发现来赚取第二笔积分。
背景与社区反馈
这一政策回应了安全研究员长期以来的抱怨：他们付费报告了真实存在的漏洞，却被告知有人先一步报告了该漏洞，或者协议方私下已经知晓该问题。Immunefi 表示：“你发现了一个有效的漏洞，但别人先提交了报告。从今天起，你将获得与该费用相等的积分，用于你的下一次提交。”
数据显示，从1月到9月，唯一的有效发现数量翻了一番，而总提交量的增长速度更快。Immunefi 指出，AI 工具加速了漏洞发现和报告撰写过程，这种体积的增长需要新的系统来公平地处理有效工作。例如，在一次近期的竞赛中，一个高严重性漏洞吸引了24份重复报告。每一份提交都需要分类和初步筛选，而这些工作正是提交费用所涵盖的内容。
社区对这一公告反响热烈。研究员 Skydev 认为这解决了与费用相关的重复报告和私有已知问题的一半难题，此前关于准确性计算的更改也已实施。Vuk.Digital 称赞了回溯性积分措施，并表示这一变化消除了参与审计竞赛的研究员的负余额问题。Keizo 也表示，社区曾提出过这一问题，而 Immunefi 听取了意见。大家的反应主要集中在研究人员无法检查早期私有报告时，提交合法工作的成本问题。
Plether 审计竞赛启动
与此同时，Immunefi 的 Plether 审计竞赛于11月2日启动，提供80,000 USDC 的奖励池。该项目是 Arbitrum 上的一个项目，允许用户对包含六种主要货币的一篮子美元指数进行永续头寸交易。该系统目前仅在 Arbitrum Sepolia 测试网上进行测试，尚未在主网部署。
奖励分配如下：
- 主要奖励池：56,000 USDC
- All Stars 奖励池：16,000 USDC
- 领奖台奖励池：8,000 USDC
参与规则排除了美国财政部 OFAC 制裁名单上的人员、受限制司法管辖区的居民以及项目内部人士。提交漏洞报告的研究人员必须提供可运行的概念验证代码。
