Midas Chain を破ってください
メインネットより先に。

概要

Midas Chain は Ethereum で決済される OP Stack の L2 で、MIDS をネイティブのガストークンとしています。実際の資金を扱う前に、セキュリティ研究者に報酬を払って問題を見つけてもらいます。

• 2 つのトラック：チェーン自体のコントラクトと、チェーンの設定およびインターネットへの公開方法です。
• High と Medium はそれぞれ個別に、動作する概念実証（PoC）を付けて提出します。Low の発見は参加者ごとに 1 つの QA レポートにまとめます。
• 報酬は固定の賞金プールから、深刻度と同じバグを見つけた人数に応じて分配されます。
• 提出は暗号化されたポータルでのみ受け付け、結果の公開まで非公開に保たれます。

スコープ

審査対象のコードは、Midas モノレポの 1 つのコミットに固定された独立のリポジトリとして、テスト、監査者向けのチェーン概要、既知の問題とともに公開されます。リポジトリのリンクはコンテスト開始時にここに表示されます。

チェーンのコントラクト

MIDS 発行コントラクト（チェーン上で MIDS を発行する唯一の手段：生涯発行上限 20,000,000,000、バーンしても上限の枠は戻らず、ガーディアンが取り消せる 48 時間のキュー）、チェーン上のすべてのアプリケーションについて全ユーザーの残高を保管するボールト、高速出金ブリッジ、MIDS トークンの ERC-20 表現。

チェーンの設定と公開エンドポイント

op-deployer のインテントと、生成されたジェネシスおよびロールアップのファイル（カスタムガストークン、ロール、手数料の受取先）、ノードスタックのフラグ、メソッド許可リストを持つ公開 RPC の入口。

既知の問題

スコープリポジトリの KNOWN_ISSUES.md に、信頼の前提と受け入れ済みのリスクを記載しています。それらを繰り返すだけでは報酬はありません。記載より深刻であることを示すものはスコープ内です。主なもの：

• シーケンサーは 1 つです。検閲耐性はシーケンサーではなく、Ethereum を通じた強制取り込みによって確保されます。
• すべてのアップグレード権限と管理者ロールは Safe が持ちます。管理者 Safe はガストークンのプリデプロイをアップグレードでき、それによって発行コントラクトのルールも変えられます。Safe の悪意ある行動を前提とする発見はスコープ外です。
• ボールトの決済エンジンは、移動させる資金について信頼されています。ボールトが保証するのは、誰がエンジンになれるか、そしてどれだけの事前通知が必要かです。
• 高速ブリッジはアテスターを信頼します。それ以外の誰かがエスクローを解放できる、または期限後の返金を妨げられる場合はスコープ内です。
• ガス代は手数料ボールトに集められ、トレジャリーへ移されます。バーンはされません。
• 公開 RPC への大量トラフィックによるサービス妨害はスコープ外です。ノードを停止させる、巻き戻す、または禁止された名前空間に到達するリクエストはスコープ内です。

スコープ外

• 改変されていない上流の OP Stack のコントラクトとクライアント。Midas がそれらをどう設定しているかはスコープ内です。それら自体のバグは Optimism のバグバウンティへ報告してください。
• アプリケーション：Pactol、Predikon、Lydos、および Midas Dollar（MDLR）と Midas Gold（MGLD）のステーブルコイン。それぞれのメインネット公開前に個別にレビューします。
• テストネット専用のコード、モック、フォーセット、およびスコープリポジトリでコンテキストと記されたファイル。
• サードパーティのサービス、各ウェブサイト、このポータル（これらは security.txt から報告してください）。
• 侵害された管理者マルチシグ、運営者の鍵やホスト、ソーシャルエンジニアリング、フィッシング、物理的アクセスを必要とするもの。

深刻度

深刻度は影響と発生可能性の組み合わせで、デプロイされたスコープと既知の問題を前提に判定します。

発生可能性とは、条件がどれだけ容易に、どれだけ頻繁に成立するかです：誰が引き起こせるか、コストはいくらか、事前に何が必要か。

報酬

賞金プールは米ドル建てで、High と Medium の発見に 90%、QA レポートに 10% を配分します。各報酬は米ドルで計算され、下記の支払いの項に従い、ベスティング付きの MIDS で支払われます。

• 同じバグの有効な発見は 1 つのグループになります。発見者が n 人のグループでは、各発見者のポイントは High 10、Medium 3 に 0.9 の (n - 1) 乗を掛け、n で割った値です。
• 各グループで最も優れたレポートは最終報告書に採用され、30% 多く獲得します。部分的な重複は満額の 25%、50%、または 75% を獲得します。
• High と Medium のプールはポイントに比例して支払われます。
• QA プールは A 評価のレポートで均等に分配され、最優秀の QA レポートは 2 口として数えます。B と C の評価には報酬はありません。
• 有効な High または Medium がない場合、High と Medium のプールは QA プールに合算されます。

例：1 件の High を 3 人が、1 件の Medium を 1 人が発見したとします。High の各発見者は 10 x 0.81 / 3 = 2.7 ポイント、採用された 1 人は 3.51、Medium の発見者は 3 ポイントです。合計 11.91 ポイントなので、Medium の発見者は High と Medium のプールの 3 / 11.91 を受け取ります。

MIDS での支払い

• 報酬の MIDS 数量は、ドル建ての報酬額を参照価格（コンテスト開始前に発表される 1 MIDS あたりの米ドル価格）で割った値です。開始後に変更されることはありません。
• MIDS は Midas Chain メインネットから存在します。メインネットのジェネシス後、報酬は Midas Chain 上のベスティングコントラクトに、受賞者ごとに 1 つのグラントとして発行されます。
• 各グラントには結果公開日から始まる 12 か月のクリフがあります。クリフが終わるまでは一切リリースできません。
• グラントは、KYC を完了し、ポータルで受取アドレスを設定した受賞者にのみ作成され、そのアドレスにのみ支払われます。
• ベスティングコントラクトのアドレスとソースコードは、デプロイ時にこのページで公開します。

スケジュール

審査と異議申し立て

• 審査員はすべての提出を分類し、重複をまとめ、最終的な深刻度を決め、QA レポートを評価し、各グループで最も優れたレポートを選びます。
• 審査員はコンテストに参加しない記名のレビュアーです。審査員のウォレットが参加者として登録されている場合、対立が解消されるまで両方の役割を失います。
• 審査が終わると、自分の提出のステータス、深刻度、評価を確認でき、3 日以内にそれぞれ 1 回ずつ、コードとこのルールに基づく理由を添えて異議を申し立てられます。
• 結果は、異議申し立て期間が終了し、すべての申し立てに回答した後にのみ公開されます。異議申し立て後の審査員の決定が最終となります。

ルール

1. 提出はコンテスト期間中に onmidas.xyz/audit/portal のポータルからのみ行ってください。それ以外の方法で送られたものは対象外です。
2. 1 件の提出につき High または Medium を 1 つ、固定コミットのスコープリポジトリで動作する概念実証付きで提出します。Low の発見はすべて、参加者ごとに 1 つの QA レポートにまとめます。
3. 英語で書いてください。何が、どこで、誰に対して壊れるのか、そしてどう修正するかを記載してください。
4. テストはローカルまたはフォーク上で行ってください。公開テストネット、その RPC、稼働中のシステム、他人の資金に対しては決してテストしないでください。
5. 結果の公開まで発見を非公開にしてください。それ以前に公開または共有した発見は、その発見と投稿者の両方が失格となります。
6. 1 人につき 1 つの身元に限ります。重複アカウント、共謀、盗用は関係するすべてのアカウントを失格とします。
7. 理解を伴わずに生成された発見（検証されていないツールの出力など）は無効です。スパムを繰り返すと参加停止になることがあります。
8. 審査員はこのルールに基づいて深刻度、有効性、重複を判断します。Midas はコンテスト開始前にルールを変更することがあり、あなたには登録時に同意した版が適用されます。

参加資格と KYC

• 誰でも参加できます。ただし Midas の従業員、委託先とその家族、審査員、以前に Midas のためにこのコードをレビューした人は除きます。
• 受賞者はグラントの作成前に本人確認（KYC）を完了する必要があります。制裁対象の法域にいる人、または制裁リストに載っている人には支払えません。
• 報酬にかかる税金はご自身の責任です。支払いのために Midas が税務情報を求めることがあります。
• グラントの作成前に、Midas Chain 上で MIDS を保有できる受取アドレスをポータルで設定する必要があります。グラントはそのアドレスにのみ支払われます。

セーフハーバーと開示

このルールの範囲内で調査する限り、Midas はあなたの作業を承認されたものとして扱います。あなたに対して法的措置を取らず、他者にもそれを求めません。第三者が措置を取った場合は、その旨を表明します。この約束を守るためのルール：

• 自分のアカウント、テストネットワーク、ローカルのデプロイ、フォークのみを使用してください。他人のデータや資金にアクセスしたり、変更や破壊をしたりしないでください。
• テストネットとその公開 RPC を含め、稼働中のサービスを劣化させたり中断させたりしないでください。
• ポータルから報告し、結果の公開まで、または Midas が書面で早期開示に同意するまで、発見を秘密にしてください。
• コンテスト外で見つけた稼働中のシステムの脆弱性は、ポータルではなく security.txt に記載のアドレスに送ってください。

セーフハーバーはこのルールのもとでの調査を対象とし、その他の法律違反は対象外です。

リーダーボード

審査員が結果を公開すると、ここにリーダーボードが表示されます。

よくある質問