Safe: Bug Bounty Kontrak s/d $1.000.000

Safe Foundation buka program bug bounty resmi khusus pemburu celah keamanan di smart contract Safe Smart Account dan modul resminya. Hadiah disiapkan mulai dari $10.000 untuk temuan tingkat rendah hingga $1.000.000 untuk celah tingkat kritis. Program ini murni mencakup smart contract on-chain, bukan tampilan web atau aplikasi Safe{Wallet}. Peneliti keamanan wajib lapor langsung secara privat agar temuan tetap memenuhi syarat pembayaran bounty.

Mengenal Layanan & Gambaran Teknis

Program bug bounty Safe adalah sayembara berhadiah uang tunai bagi siapa saja yang berhasil menemukan celah keamanan (bug/exploit) di kode smart contract Safe sebelum dieksploitasi hacker jahat. Safe Smart Account sendiri merupakan dompet multi-signature (dompet berbasis kontrak pintar yang butuh persetujuan multi-pihak) paling populer di ekosistem Ethereum. Karena mengamankan aset bernilai miliaran dolar, mereka membayar peneliti keamanan independen untuk menguji kode mereka secara legal.

Panduan Langkah Demi Langkah

1. Langkah 1 — Buka laman docs.safefoundation.org/security/bug-bounty di browser untuk memverifikasi daftar kontrak yang masuk cakupan (in-scope).
2. Langkah 2 — Periksa repositori kode Safe Smart Account (versi v1.1.1 sampai v1.5.0) atau modul resmi yang didukung seperti Module 4337, Passkey Module, dan Safenet Beta Staking Contract.
3. Langkah 3 — Analisis kode dan buat skrip pembuktian konsep (PoC / Proof of Concept) yang mereplikasi cara kerja celah keamanan tersebut pada testnet lokal.
4. Langkah 4 — Tulis laporan teknis terperinci yang mencakup ringkasan celah, skenario serangan, dampak dana, dan langkah mitigasi.
5. Langkah 5 — Kirim laporan temuan via email langsung ke [email protected] dan jangan pernah membagikan detail bug ke media sosial atau publik.

Persyaratan & Kesiapan

• Memiliki pemahaman mendalam tentang Solidity, Ethereum Virtual Machine (EVM), dan arsitektur smart account
• Bukan karyawan, kontraktor, auditor resmi, atau pihak terafiliasi yang digaji oleh Safe
• Celah yang dilaporkan belum pernah diketahui tim Safe atau dilaporkan oleh peneliti lain sebelumnya
• Wajib mematuhi etika responsible disclosure (pantang membocorkan bug ke publik sebelum ada patch resmi)

Tips Optimalisasi

• Fokuskan riset pada modul baru seperti Passkey Module v0.2.1 dan Safenet Staking v0.1.0 karena kodenya relatif lebih segar dibanding core lama.
• Sertakan skrip test executable (menggunakan Foundry atau Hardhat) dalam laporan agar tim triage Safe bisa langsung memvalidasi keparahan bug dengan cepat.
• Untuk bug di antarmuka frontend Safe{Wallet}, gunakan saluran terpisah di [email protected] karena tidak masuk scope bounty jutaan dolar ini.

Mitigasi Risiko & Keamanan

• Laporan yang diungkap ke publik sebelum diizinkan akan langsung didiskualifikasi dan kehilangan hak klaim reward.
• Penentuan tingkat keparahan (severity) dan nominal reward bersifat mutlak di bawah keputusan panel juri Safe Foundation.
• Eksploitasi bug di mainnet publik yang merugikan pengguna nyata dilarang keras dan melanggar hukum.

Kesimpulan & Catatan Penting

Program bug bounty Safe Foundation menawarkan imbalan masif bagi auditor smart contract yang mampu menemukan celah kritis on-chain. Pastikan selalu menguji di lingkungan simulasi dan kirimkan PoC lengkap langsung ke saluran email resmi mereka.