The Sandbox: o programa de recompensas por vulnerabilidades de 2022

Em julho de 2022, após uma série de ataques e exploração de vulnerabilidades no setor de criptoativos, projetos reforçavam suas medidas de segurança. A proteção abrangia código, fundos e dados dos usuários. Entre as iniciativas anunciadas estava a de The Sandbox — um projeto de metaverso popular que oferece ferramentas para criar e monetizar jogos. A possibilidade de receber recompensas nesses jogos depende das regras e das condições de mercado, sem garantia de renda.

O programa anunciado em 2022 previa até US$ 200 mil por falhas críticas

Em 5 de julho de 2022, The Sandbox publicou um anúncio no Twitter sobre o lançamento de um programa de recompensas pela identificação de vulnerabilidades, conhecido como bug bounty. A iniciativa buscava a contribuição de desenvolvedores e pesquisadores de segurança para encontrar falhas ainda desconhecidas nos contratos inteligentes abrangidos pelo programa. O objetivo era reduzir riscos, não prometer segurança absoluta.

O projeto apresentou os detalhes em seu anúncio no Medium. O texto de lançamento indicava o início em 5 de julho de 2022 e o envio dos relatos pela plataforma Immunefi. Os valores dependiam da gravidade da vulnerabilidade aceita e seriam pagos em SAND. Estes são os termos históricos do anúncio, não uma oferta atual de pagamento.

A tabela anunciada previa o equivalente a US$ 1.000 em SAND para falhas de baixa gravidade e US$ 2.000 para gravidade média. Os limites eram de até US$ 20.000 para falhas de alta gravidade e até US$ 200.000 para falhas críticas. Eram valores denominados em dólares com pagamento em tokens, não quantidades fixas de SAND. A recompensa dependia da validação e do cumprimento das regras.

Os requisitos descritos no lançamento

The Sandbox afirmava ter ampliado os esforços de segurança desde o início de 2022, com duas auditorias conduzidas por empresas diferentes antes da entrada de contratos em produção. O bug bounty complementaria esses trabalhos ao envolver a comunidade na identificação de falhas nos contratos já em funcionamento. Auditorias e relatos externos ajudam a reduzir riscos, mas não demonstram a ausência de todas as vulnerabilidades.

Para ser considerado, o relato precisava incluir uma prova de conceito, ou PoC, demonstrando um impacto previsto nas regras sobre um ativo incluído no escopo do programa. O recebimento da recompensa também exigia verificação de identidade, conhecida como KYC. O pagamento seria feito integralmente em SAND, conforme as condições anunciadas.

Falhas já identificadas em auditorias ou listadas na página do programa não seriam novamente recompensadas. Quando houvesse relatos duplicados, apenas a primeira submissão válida poderia receber a recompensa. A equipe analisaria o relato e tentaria reproduzir o problema; somente uma falha desconhecida e elegível, apresentada por participante que cumprisse os critérios, daria direito ao pagamento.

Saiba mais em nosso guia para investir em The Sandbox.