La façon la plus simple d’effacer le travail d’un chercheur en sécurité est cinq mots : « Nous le savions déjà. »

Sans horodatage, ce n’est pas une défense. C’est une réécriture.

@TermMaxFi comble cette faille via l’Assurance des Problèmes Connus dans sa récompense Immunefi. Un bug connu doit avoir été divulgué publiquement ou enregistré en privé par une soumission auto-déclarée avant que le chercheur ne le signale.

Si le projet ne peut pas prouver que le problème était déjà connu, alors un rapport valable reste dans le périmètre et mérite une récompense. La charge de la preuve fonctionne dans les deux sens : les chercheurs apportent une preuve de concept ; le projet fournit des preuves.

Immunefi gère la triage, l’arbitrage est activé, et aucune des deux parties ne peut revenir sur la chronologie après coup. Cela transforme une récompense pour bug en un processus basé sur des preuves.

Cela ne signifie pas que chaque rapport en double est payé. Les problèmes non corrigés déjà divulgués lors d’audits publics sont exclus, et il n’y a aucune preuve publique que TermMax ait dû invoquer cette clause dans un différend réel.

L’objectif est préventif : les règles sont écrites avant que l’argent, la réputation et les incitations ne entrent en collision.

Une sécurité Web3 mature ne se résume pas à des montants de récompenses plus élevés. C’est une procédure régulière lorsque quelqu’un dit : « Faites-nous confiance, nous le savions. »

Le « pas de preuves, pas de défense pour problème connu » deviendra-t-il la règle par défaut pour chaque bug bounty sérieux en crypto ?