A maneira mais fácil de apagar o trabalho de um investigador de segurança é com cinco palavras: “Já sabíamos disso.”

Sem um carimbo de data/hora, isso não é uma defesa. É uma reescrita.

@TermMaxFi fecha essa brecha através da Garantia de Problema Conhecido na sua recompensa Immunefi. Um bug conhecido deve ter sido divulgado publicamente ou registrado de forma privada através de uma submissão auto-relatada antes do investigador reportar.

Se o projeto não puder provar que o problema já era conhecido, então um relatório válido permanece dentro do escopo e merece uma recompensa. O ônus da prova funciona de ambas as formas: os investigadores trazem uma Prova de Conceito; o projeto apresenta provas.

A Immunefi cuida da triagem, a arbitragem está habilitada, e nenhum dos lados pode alterar a linha do tempo após o fato. Isso transforma uma recompensa por bug de “o projeto tem a palavra final” em um processo baseado em evidências.

Isso não significa que todo relatório duplicado seja pago. Problemas não resolvidos já divulgados em auditorias públicas estão excluídos, e não há evidências públicas de que o TermMax tenha precisado invocar essa cláusula em uma disputa real.

A questão é preventiva: as regras são escritas antes que dinheiro, reputação e incentivos colidam.

Segurança madura em Web3 não é apenas números maiores de recompensas. É um processo devido quando alguém diz: “Confie em nós, sabíamos.”

Deveria “sem recibos, sem defesa de problema conhecido” tornar-se a regra padrão para toda recompensa séria por bugs em criptomoedas?