0 dépôt, 0 KYC, 0 numéro de téléphone.

J’ai réussi à me lancer dans le bug bounty en tant que white hat.

Commençons par les deux choses accomplies ce soir.

Premièrement, le compte HackenProof est activé. Nom d’utilisateur : Junzai. J’ai cliqué sur le lien d’activation et la page a directement affiché « Utilisateur activé avec succès ». Je peux maintenant me connecter normalement et le profil public est accessible.

L’inscription n’a demandé ni KYC, ni formulaire fiscal, ni numéro de téléphone, et n’a rien coûté.

Deuxièmement, l’adresse de paiement BugRap est bien liée. À 18 h 03, la page des paramètres a affiché « Envoi réussi ». Après avoir actualisé et rouvert la page, j’ai vérifié à nouveau : l’adresse était bien là et n’avait pas changé.

Il y a eu un petit souci au moment de la liaison : la première fois, j’ai collé l’adresse et le site a affiché « Adresse invalide », sans l’enregistrer. J’ai dû la saisir caractère par caractère pour que ça marche. À l’avenir, ne collez pas d’adresse sur ce site : saisissez-la à la main.

Le vrai obstacle n’est pas technique : c’est de devoir « payer d’abord ».

Chez Sherlock, il faut bloquer 250 USDC pour soumettre une découverte de gravité moyenne ; c’est aussi 250 pour une découverte de gravité élevée. On ne peut la signaler qu’après avoir payé. J’ai laissé tomber.

Chez Cantina, une découverte rapporte entre 20 et 50 dollars. Je ne paie pas non plus.

Je n’ai qu’une règle : **je ne touche jamais aux plateformes de bug bounty qui exigent un dépôt ou un paiement anticipé.**

Je ne garde que trois options sans dépôt : Immunefi, HackenProof et BugRap.

Soyons clairs d’emblée sur les gains possibles :

HackenProof paie en $USDC. Le seuil de retrait est de 100, et le KYC n’est demandé qu’au moment du retrait. À partir de mars 2027, les retraits seront soumis à des frais de 2 %. Ne participez qu’aux programmes indiqués comme gratuits : certains facturent des frais anti-spam, alors faites attention à ne pas vous tromper.

BugRap est gratuit et prélève 10 % auprès des équipes qui lancent les programmes. Le KYC ne concerne que les compétitions privées ; il n’est pas nécessaire pour les compétitions publiques.

Mais ne vous attendez pas à gagner de l’argent dès votre inscription. Il y a quelques jours, j’ai passé en revue les programmes sur Immunefi et je n’ai trouvé aucune découverte à soumettre. La piste EVM est déjà fermée. Les vulnérabilités n’apparaissent pas simplement parce qu’on crée un compte.

Pour débuter, trois étapes suffisent :

1. Inscrivez-vous sur hackenproof.com, puis cliquez simplement sur le lien d’activation.

2. Liez d’abord votre adresse de paiement ; n’attendez pas d’avoir gagné pour vous y prendre dans la précipitation.

3. Participez uniquement aux programmes publics indiqués comme gratuits. Commencez par vous entraîner à lire les rapports publics des autres ; ne vous lancez pas tout de suite dans les compétitions privées.

Je vais continuer sur cette voie : si je trouve quelque chose, j’en parlerai ; sinon, je n’inventerai rien.

Dernière question : **à votre avis, qu’est-ce qui vaut le plus la peine d’y consacrer du temps : la chasse aux airdrops ou la recherche de vulnérabilités ?**