Web3 Bug Bounty: Roadmap + Repo Wajib | Immunefi

Mau mulai web3 bug bounty? Ada 4 repo GitHub wajib bookmark: Awesome-web3-Security (katalog materi lengkap), awesome-web3-security (10 kelas bug dari 2.749 laporan Immunefi), my-web3-security-roadmap, dan web3-security-resources (update 2026, ada fuzzing & formal verification). Gratis, tanpa key, tanpa batas waktu. Platform bountynya Immunefi, Code4rena, HackenProof. Saranku: bookmark dulu, belajar Solidity + baca writeup hack, baru turun hunt. Jangan langsung nyari bug di protocol live.

Mengenal Layanan & Gambaran Teknis

Web3 bug bounty = program di mana kita dibayar (biasanya crypto, bisa puluhan ribu sampai jutaan dolar) kalau nemu celah keamanan di smart contract atau protokol DeFi. Beda sama pentest biasa: scope-nya jelas, ada aturan mana yang boleh diutak-atik, dan reward-nya otomatis kalau laporan diterima. Yang bikin pusing bukan tools-nya, tapi pemahaman EVM (mesin virtual Ethereum, tempat smart contract jalan) + pola bug yang sering muncul. Nah, repo-repo di atas itu 'kamus + latihan' buat bangun pemahaman itu dari nol. Ethernaut sama Damn Vulnerable DeFi itu CTF (capture-the-flag, latihan hack di kontrak sengaja dibikin bolong) — tempat aman buat praktik sebelum nyentuh protokol beneran.

Panduan Langkah Demi Langkah

Langkah 1 — Buka github.com di browser, login/daftar akun GitHub dulu (gratis, cuma butuh email). Ini prasyarat biar bisa star/bookmark repo.
Langkah 2 — Kunjungi github.com/Anugrahsr/Awesome-web3-Security. Klik tombol Star (bintang) di kanan atas buat bookmark. Baca README-nya — itu daftar isi materi: roadmap, tools, referensi, khusus buat pentester & bug hunter.
Langkah 3 — Kunjungi github.com/gmh5225/awesome-web3-security. Star juga. Fokus ke bagian '10 bug classes' — ringkasan pola celah dari 2.749 laporan Immunefi + 681 resource. Ini cheat-sheet kelas bug paling sering.
Langkah 4 — Kunjungi github.com/mattaereal/my-web3-security-roadmap buat urutan belajar terstruktur, dan github.com/Raiders0786/web3-security-resources buat materi update 2026 (roadmap, audit tools, fuzzing, formal verification).
Langkah 5 — Bangun fondasi: kuasai Solidity (bahasa smart contract) + EVM fundamentals dulu. Pakai Remix (remix.ethereum.org, IDE browser buat nulis & deploy kontrak tanpa install apa pun) buat latihan nulis kontrak sederhana.
Langkah 6 — Pahami common vulnerability: reentrancy (kontrak manggil dirinya lagi sebelum update saldo), oracle manipulation (harga palsu dari sumber data), access control (fungsi yang harusnya cuma buat admin tapi kebuka buat siapa aja). Cari tiap istilah di repo Langkah 3.
Langkah 7 — Baca laporan audit & writeup dari protokol yang udah di-hack. Ini cara tercepat belajar pola bug nyata. Banyak di repo Awesome-web3-Security bagian 'writeups'/'post-mortems'.
Langkah 8 — Praktik di Ethernaut (ethernaut.openzeppelin.com — CTF Solidity berbasis level, klik level → deploy kontrak → exploit → submit) dan Damn Vulnerable DeFi (damnvulnerabledefi.xyz — latihan DeFi exploit). Selesaikan level dari mudah ke susah.
Langkah 9 — Join bounty di Immunefi (immunefi.com) mulai dari yang low hanging fruit: filter program berbayar kecil/scope longgar, baca rules-nya teliti. Alternatif: Code4rena (code4rena.com) buat audit contest crowdsourced, HackenProof (hackenproof.com) buat expert bounty.

Persyaratan & Kesiapan

Paham dasar coding + Solidity (kalau nol, mulai dari dokumentasi Solidity docs.sol.dev dulu).
Akun GitHub buat star/bookmark repo.
Wallet crypto (MetaMask) cuma perlu pas udah mau submit laporan & nerima reward — buat belajar belum perlu.
Tools lokal opsional: Foundry (forge, framework test Solidity) buat praktik exploit lebih serius.
Sabar — roadmap ini hitungan bulan, bukan weekend.

Tips Optimalisasi

Bookmark 4 repo itu sekarang, jangan cuma screenshot — kontennya sering nambah.
Mulai dari Awesome-web3-Security, itu paling lengkap buat roadmap + tools + referensi.
Fokus 1 kelas bug dulu (misal reentrancy) sampai ngerti, jangan lompat-lompat.
Ethernaut dulu sebelum Damn Vulnerable DeFi — Ethernaut lebih dasar.
Di Immunefi, baca rules & scope tiap program sebelum nge-hack. Salah scope = laporan ditolak, bisa kena ban.
Audit contest Code4rena bagus buat pemula: banyak peserta, banyak belajar dari writeup pemenang.

Mitigasi Risiko & Keamanan

Nge-hack protokol live di luar scope/izin = ilegal, bisa kena tuntutan hukum. Selalu cek rules program.
Submit laporan yang udah pernah ditemuin orang = ditolak, nama jelek di leaderboard.
Reward besar bikin target empuk buat orang iseng — jangan sebar wallet/seed phrase buat 'praktik'.
Belajar dari writeup lama bisa usang — protokol udah di-patch, pola bug berubah.
FOMO mau cepet dapet bounty tanpa fondasi Solidity = buang waktu, laporan asal-asalan.

Kesimpulan & Catatan Penting

Rujukan data terverifikasi dan pembaruan kuota secara realtime dapat dipantau langsung melalui portal intelijen direktori digital AICHECK #44012.