Petra Wallet dkk: Berburu Bug Bounty di GitHub

Beberapa proyek open-source dan Web3 lagi buka pelaporan celah keamanan langsung lewat tab Security di repositori GitHub mereka, salah satunya Petra Wallet milik Aptos Labs. Kamu bisa dapet reward bug bounty kalau nemu celah kritis kayak kebocoran private key atau bypass autentikasi. Jalur laporannya resmi lewat GitHub Security Advisory atau email khusus tim keamanan, bukan lewat public issue biasa. Buat yang paham audit smart contract atau security research web, daftar target ini layak dicek sekarang.

Mengenal Layanan & Gambaran Teknis

GitHub Security Advisories adalah fitur bawaan GitHub yang ngebiarin pengembang nerima laporan bug celah keamanan secara tertutup (privat), jadi infonya gak bocor ke publik sebelum ditambal. Program Bug Bounty ini ngasih reward uang atau token ke peneliti keamanan independen yang berhasil nemuin dan ngelaporin vulnerability valid di kode mereka sesuai aturan.

Panduan Langkah Demi Langkah

1. Langkah 1: Buka repositori target di browser, misalnya Petra Wallet di github.com/aptos-labs/petra-wallet/security.
2. Langkah 2: Baca berkas SECURITY.md di halaman tersebut buat ngecek batasan scope yang diterima, daftar vulnerability yang dinilai (seperti private key plaintext atau transaksi tanpa izin), dan tata cara pelaporan.
3. Langkah 3: Audit kode sumber proyek secara lokal di mesin kamu untuk mencari potensi eksploitasi keamanan.
4. Langkah 4: Kalau nemu celah valid, klik tombol 'Report a vulnerability' di tab Security GitHub atau kirim rincian laporan (proof-of-concept tanpa lampiran berbahaya) langsung ke email resmi tim yang tertera (misalnya [email protected] untuk Petra).
5. Langkah 5: Tunggu balasan dari tim developer untuk evaluasi validasi bug dan penentuan reward.

Persyaratan & Kesiapan

• Punya akun GitHub aktif.
• Paham dasar security research, audit kode open-source, atau smart contract.
• Alamat email valid (disarankan domain terpercaya agar tidak masuk folder spam).

Tips Optimalisasi

• JANGAN pernah bikin public issue atau pull request buat laporan celah keamanan supaya gak kena diskualifikasi reward.
• Sertakan proof-of-concept (PoC) yang jelas dan langkah reproduksi langkah demi langkah biar laporan cepat diverifikasi.
• Hindari menyertakan attachment file zip atau executable langsung di email laporan karena bakal otomatis di-flag spam atau ditolak.

Mitigasi Risiko & Keamanan

• Laporan duplikat atau bug di luar scope tidak akan mendapatkan reward.
• Melakukan pengujian aktif langsung ke server production atau pengguna nyata tanpa izin melanggar hukum.

Kesimpulan & Catatan Penting

Daftar repositori ini menyediakan target audit resmi dengan jalur pelaporan rahasia lewat GitHub Security. Kalau kamu punya skill di bidang web application atau smart contract security, luangkan waktu mengaudit kodenya untuk meraih reward bounty.