Eine Freundin von mir testet Apps einfach zum Spaß im Beta-Modus. Gib ihr eine Banking-App, und sie stöbert auf der Login-Seite nach Schwachstellen. Gib ihr eine App zum Bestellen in einem Café, und sie meldet Dinge wie einen Button, der sich auf kleinen Bildschirmen über das Preisschild legt. Einmal sagte sie mir, sie würde sich albern fühlen, wenn sie einem Sicherheitsteam einer Bank einen Font-Glitch melden würde – und vernünftigerweise, denn das ist nicht die Warteschlange, in die so ein Font-Glitch gehört.
GRVT scheint ihrer Intuition zuzustimmen, denn das Unternehmen betreibt zwei getrennte Bug-Bounty-Streams statt einer einzigen Sammelbox. Das Hauptprogramm zielt auf Vertraulichkeit, Integrität und Verfügbarkeit ab – also auf Erkenntnisse, die Gelder, Authentifizierung oder die Node-Verfügbarkeit betreffen. Die Funde im Mainnet werden in einer höheren Stufe vergütet als die im Testnet. Separat führte GRVT im November und Dezember eine eigene Mobile-Bug-Bounty durch, die sich ausschließlich auf UI und UX konzentrierte: App-Abstürze, nicht reagierende Buttons, verwirrende Navigation, kaputte Layouts und sogar Tippfehler oder Farbabweichungen. Bezahlt wurde in USDT, abhängig von der Schwere des visuellen oder Usability-Problems. Die Aufteilung der Queues stellt sicher, dass ein rein kosmetischer Bericht keine Zeit im Triage-Prozess mit einem Bericht konkurriert, der tatsächlich Gelder bewegen könnte, und sie verhindert, dass ein Security-Researcher-Bericht unter einer Flut von Screenshots über falsch ausgerichteten Text begraben wird. Außerdem signalisiert sie, dass GRVT seine Mobile-App als echte Produktoberfläche betrachtet, die es unter eigenen Bedingungen zu testen gilt – nicht als nachträglichen Gedanken, der nach dem Launch-Day einfach an die Web-App „angeflanscht“ wurde.
GRVT betreibt keine einzige undifferenzierte Bounty-Box, sondern zwei Programme, die auf zwei verschiedene Arten von Risiko ausgerichtet sind: auf der einen Seite „Fund-Level“-Exploits, auf der anderen alltägliche Reibung im Usability-Alltag. Diese Trennung ist zwar eine kleine operative Entscheidung, zeigt aber, dass ein Team Probleme nach ihren Folgen sortiert – statt danach, wie laut jemand sie meldet.
@grvt_io #grvt $LAB $B
GRVT scheint ihrer Intuition zuzustimmen, denn das Unternehmen betreibt zwei getrennte Bug-Bounty-Streams statt einer einzigen Sammelbox. Das Hauptprogramm zielt auf Vertraulichkeit, Integrität und Verfügbarkeit ab – also auf Erkenntnisse, die Gelder, Authentifizierung oder die Node-Verfügbarkeit betreffen. Die Funde im Mainnet werden in einer höheren Stufe vergütet als die im Testnet. Separat führte GRVT im November und Dezember eine eigene Mobile-Bug-Bounty durch, die sich ausschließlich auf UI und UX konzentrierte: App-Abstürze, nicht reagierende Buttons, verwirrende Navigation, kaputte Layouts und sogar Tippfehler oder Farbabweichungen. Bezahlt wurde in USDT, abhängig von der Schwere des visuellen oder Usability-Problems. Die Aufteilung der Queues stellt sicher, dass ein rein kosmetischer Bericht keine Zeit im Triage-Prozess mit einem Bericht konkurriert, der tatsächlich Gelder bewegen könnte, und sie verhindert, dass ein Security-Researcher-Bericht unter einer Flut von Screenshots über falsch ausgerichteten Text begraben wird. Außerdem signalisiert sie, dass GRVT seine Mobile-App als echte Produktoberfläche betrachtet, die es unter eigenen Bedingungen zu testen gilt – nicht als nachträglichen Gedanken, der nach dem Launch-Day einfach an die Web-App „angeflanscht“ wurde.
GRVT betreibt keine einzige undifferenzierte Bounty-Box, sondern zwei Programme, die auf zwei verschiedene Arten von Risiko ausgerichtet sind: auf der einen Seite „Fund-Level“-Exploits, auf der anderen alltägliche Reibung im Usability-Alltag. Diese Trennung ist zwar eine kleine operative Entscheidung, zeigt aber, dass ein Team Probleme nach ihren Folgen sortiert – statt danach, wie laut jemand sie meldet.
@grvt_io #grvt $LAB $B