Cara termudah untuk menghapus pekerjaan seorang peneliti keamanan adalah lima kata: “Kami sudah tahu tentang itu.”

Tanpa cap waktu, itu bukan pembelaan. Itu adalah penulisan ulang.

@TermMaxFi menutup celah itu melalui Jaminan Masalah Dikenal dalam bounty Immunefi-nya. Bug yang diketahui harus telah diungkapkan secara publik atau dicatat secara pribadi melalui pengajuan laporan sendiri sebelum peneliti mengajukannya.

Jika proyek tidak dapat membuktikan bahwa masalah tersebut sudah diketahui, maka laporan yang valid tetap dalam lingkup dan berhak atas hadiah. Beban pembuktian berlaku dua arah: peneliti membawa PoC; proyek membawa bukti.

Immunefi menangani triage, arbitrase diaktifkan, dan kedua pihak tidak dapat mengubah garis waktu setelah fakta. Itu mengubah bounty bug dari “proyek memiliki kata terakhir” menjadi proses berbasis bukti.

Ini tidak berarti setiap laporan duplikat dibayar. Masalah yang sudah diungkapkan dalam audit publik yang belum diperbaiki dikecualikan, dan tidak ada bukti publik bahwa TermMax harus menggunakan klausul ini dalam sengketa nyata.

Intinya adalah pencegahan: aturan ini ditulis sebelum uang, reputasi, dan insentif bertabrakan.

Keamanan Web3 yang matang bukan hanya angka bounty yang lebih besar. Ini adalah proses yang adil ketika seseorang berkata, “Percayalah, kami sudah tahu.”

Haruskah “tanpa bukti, tanpa pembelaan masalah yang diketahui” menjadi aturan default untuk setiap bounty bug kripto yang serius?