La forma más fácil de borrar el trabajo de un investigador de seguridad son cinco palabras: “Ya lo sabíamos.”

Sin una marca de tiempo, eso no es una defensa. Es una reescritura.

@TermMaxFi cierra ese agujero a través de la Garantía de Problemas Conocidos en su recompensa Immunefi. Un error conocido debe haber sido divulgado públicamente o registrado en privado mediante una presentación autoinformada antes de que el investigador lo reporte.

Si el proyecto no puede demostrar que el problema ya era conocido, entonces un informe válido permanece dentro del alcance y merece una recompensa. La carga de la prueba funciona en ambos sentidos: los investigadores aportan una PoC; el proyecto presenta comprobantes.

Immunefi se encarga de la triage, la arbitraje está habilitada, y ninguna de las partes puede modificar la línea de tiempo después del hecho. Eso convierte una recompensa por error en un proceso basado en evidencia, en lugar de “el proyecto tiene la última palabra”.

Esto no significa que cada informe duplicado sea pagado. Los problemas no corregidos ya divulgados en auditorías públicas están excluidos, y no hay evidencia pública de que TermMax haya tenido que invocar esta cláusula en una disputa real.

El punto es preventivo: las reglas están escritas antes de que colisionen dinero, reputación e incentivos.

La seguridad madura en Web3 no se trata solo de números mayores en recompensas. Es un proceso debido cuando alguien dice, “Confíen en nosotros, lo sabíamos.”

¿Debería “sin recibos, sin defensa de problema conocido” convertirse en la regla predeterminada para cada recompensa seria por errores en criptomonedas?