Bug 赏金平台目录
按盈利潜力排名的 100 个平台 — 从 Web2 众包安全到 DeFi 智能合约审计。权威的黑客地图。
S 级——精英收入潜力
可能获得超过 100,000 美元的赏金。拥有全球最大的项目和价值数百万美元的 DeFi 协议审计。
全球最大的漏洞赏金平台，拥有 2,000 多个程序，并向黑客支付了 3 亿多美元。谷歌、微软和国防部项目的所在地，奖金为六位数。
第二大众包安全平台，提供来自特斯拉、万事达卡、OpenAI 和数百家财富 500 强公司的项目。强大的企业和政府影响力。
排名第一的区块链/DeFi 漏洞赏金平台，支付金额超过 1 亿美元。以太坊基金会、Polygon 和 Chainlink 的项目为每个 bug 提供高达 1000 万美元的奖励。关键的漏洞在这里价值不菲。
有竞争力的智能合约审计平台，顶级审计师每次竞赛可赚取 5 万至 50 万美元。经过Uniswap、ENS 和Compound 的实战测试。 DeFi 安全研究人员的首要舞台。
欧洲领先的错误赏金平台，拥有来自 Proximus、ING 和欧盟机构的 900 多名研究人员和项目。对于拥有六位数计划的欧洲企业来说，符合 GDPR 的最佳选择。
DeFi 原生安全平台将竞争性审计与链上覆盖协议相结合。审计员在每次审计尖端 DeFi 协议的比赛中可以获得 2 万至 20 万美元的收入。
仅限精英邀请的平台，为美国国防部、DARPA 和财富 100 强公司提供服务。经过审查的研究人员通过分类计划获得业内最高的报酬。
一家由顶级智能合约审计师组成的分布式安全公司。审核 OpenSea、Yearn 和 Lido 等主要协议。顶级审计师通过旗舰项目赚取超过 15 万美元的收入。
A 级——高收入潜力
典型的最高赏金为 10,000 美元至 100,000 美元。包括主要企业 VRP、区域巨头和专业审计平台。
Google 的漏洞奖励计划涵盖 Chrome、Android 和所有 Google 产品。针对 Android 和 Chrome 严重错误的最高赔付金额高达 15 万美元以上。仅 2023 年就支付了 1200 万美元以上。
Microsoft 安全响应中心针对 Azure、M365 和 Windows 提供高达 25 万美元的赏金。 Hyper-V 赏金是业界最大的单一错误奖励之一。
Apple 的私人漏洞赏金计划为 iOS 上的零点击全链漏洞提供高达 100 万美元的奖励。 iCloud、macOS 和 Secure Enclave 漏洞获得了业内最高的赏金。
欧洲第二大平台，拥有 45,000 多名道德黑客和客户，包括法国巴黎银行、空中客车公司和法国政府。严格遵守欧盟数据主权要求。
渗透测试即服务领导者，拥有 450 多名经过审查的渗透测试人员（Cobalt Core）。由 Zuora、Mimecast 和 Palo Alto Networks 使用。结构化渗透测试提供一致、高质量的结果以及补救指导。
趋势科技的漏洞获取计划 — 全球最大的独立供应商 VRP。购买企业软件中的漏洞并协调负责任的披露。 Pwn2自己的赞助商。
领先的 Web3 安全平台结合了形式验证、审计和错误奖励。已审计$300B+ 资产。天网监控实时链上活动以进行实时威胁检测。
精心策划的智能合约安全平台，具有竞争性审计和托管审查。由前 Paradigm 和 Spearbit 研究人员创立。以顶级报酬吸引精英 DeFi 审计师。
Cyfrin 的竞争性审核平台具有 First Flights（学习）和完整的竞争性竞赛。即将到来的审计师的强大社区。为领先协议支付超过 5 万美元的著名竞赛。
去中心化的错误赏金协议，项目将代币存入金库。研究人员通过链上金库支付赚取收入，从而创建无需中间商的去信任、自主的赏金分配。
Hacken 领先的专注于加密货币的错误赏金平台。 Hosts programs for Binance, Crypto.com, and NEAR Protocol.专注于具有竞争性赏金池的 Web3 和加密原生组织。
GitHub 的漏洞奖励计划涵盖 GitHub.com、GitHub Enterprise 和 GitHub Actions。超过 1 亿开发者使用的平台上的关键发现可以获得高达 3 万美元以上的丰厚奖金。
三星的移动安全奖励计划为在安全启动环境中在 Galaxy 设备上执行任意代码提供高达 100 万美元的奖励。 Apple 之外最富有的专注于移动设备的 VRP 之一。
具有众包安全模块的独特攻击面管理平台。精英研究人员提交的模块可支持 Detectify 对数千家企业客户进行持续扫描。持续的被动收入模式。
HackerOne 上最受尊敬的企业错误赏金计划之一。 Shopify 已向研究人员支付了超过 100 万美元，并以快速分类、公平的赏金和研究人员至上的文化而闻名。
Bugcrowd 上的特斯拉车辆和基础设施漏洞赏金涵盖了特斯拉网络、车辆软件和自动驾驶系统。汽车 OEM 错误很少见，而且得到了很好的补偿——整车漏洞可赚取 15,000 美元以上。
法国精英众包安全平台，设有仅限邀请的研究人员社区。为法国主要银行、电信和政府机构提供服务。强大的 NIS2/DORA 合规能力。
世界上第一个 AI/ML 错误赏金平台，被 Protect AI 收购。专门研究开源 ML 库（Hugging Face、TensorFlow、PyTorch）中的漏洞。对于蓬勃发展的人工智能安全领域至关重要。
GitLab 的公共 HackerOne 计划完全开源友好，包括 GitLab.com SaaS 和自我管理产品。以快速响应时间和全面的范围（包括 CI/CD 管道）而闻名。
欧洲智能合约安全平台将自动化分析与竞争性社区审计相结合。透明的排行榜系统奖励顶级审核员。不断增长的 DeFi 和 NFT 客户群。
总部位于新加坡的区块链驱动的漏洞赏金平台。使用 NGL 代币激励结构。通过限时竞争竞赛，在亚太地区金融科技和加密货币组织中拥有强大影响力。
Atlassian 的 Bugcrowd 计划涵盖数百万企业使用的 Jira、Confluence、Bitbucket 和 Trello。其云产品中影响数据隔离的关键漏洞可以获得高额奖金。
B 级——稳定的收入潜力
典型的最高赏金为 1,000 美元至 10,000 美元。区域平台、专业领域和新兴市场领导者。
瑞士领先的漏洞赏金平台，为瑞士银行、金融科技和政府部门提供服务。严格遵守瑞士数据保护法。 DACH 区域安全研究人员社区不断壮大。
总部位于瑞士的平台，专注于 DACH 市场企业和政府组织。为金融和医疗保健等受监管行业提供结构化的错误赏金计划以及以合规为导向的报告。
瑞士安全咨询公司运行有针对性的漏洞赏金计划。专注于关键基础设施和金融部门安全评估。瑞士企业的咨询和众包相结合的模式。
为匈牙利和中东欧组织提供服务的中欧漏洞赏金平台。通过排行榜激励措施不断壮大的研究人员社区。为东欧企业客户提供独特的区域定位。
中欧和东欧漏洞赏金平台具有符合 GDPR 的基础设施。为地方政府、银行和电信公司提供服务。强大的社区，具有透明的排行榜和节目目录。
瑞士创立的平台，连接欧洲和拉丁美洲的安全市场。适用于 DACH 和拉丁美洲组织的独特双语 (EN/ES) 方法。金融科技和电子商务领域的监管合规重点。
连接美国、欧洲和土耳其市场的多区域平台。提供错误赏金和 VDP 计划类型以及透明的研究人员排名。对于中小企业进入众包安全来说具有成本效益。
总部位于美国的平台为初创公司和中小企业提供预算友好的托管错误赏金计划。将项目管理与研究人员分类相结合。对于刚刚接触众包安全的公司来说是一个很好的切入点。
印度领先的漏洞赏金平台，为本土初创公司和企业提供服务。人工智能驱动的分类和漏洞管理。由印度安全研究人员组成的强大社区，其全球项目列表不断增加。
中东领先的漏洞赏金平台，总部位于迪拜。为地区政府实体、电信公司和金融科技组织提供服务。不断壮大的社区将中东和北非地区的安全人才与企业客户联系起来。
结合了 CTF 和 bug 赏金平台，重点关注中东和北非地区和非洲。包括认证途径、培训和实时错误赏金计划。区域安全人才进入企业计划的主要渠道。
全球最大的 WordPress 漏洞数据库和 bug 赏金平台。协调 60,000 多个 WordPress 插件和主题的负责任披露。 WP 安全情报的重要来源。
Wordfence 的针对 WordPress 的错误赏金针对插件和主题漏洞进行支付。全球有超过 1 亿个 WordPress 站点，攻击面非常巨大。高严重性调查结果可通过协调披露奖金赚取 1 万美元以上。
印度尼西亚顶级的漏洞赏金平台，拥有大量本地安全研究人员社区。为印度尼西亚政府门户网站、银行和科技独角兽公司提供服务。强大的 CTF 整合和研究人员培训计划。
面向亚太组织的澳大利亚精品漏洞赏金平台。经过审查的研究人员社区符合澳大利亚数据主权合规性。为亚太地区的金融服务、医疗保健和政府部门提供服务。
澳大利亚诞生的漏洞赏金 SaaS 平台，为亚太地区企业提供服务。自助服务程序设置与简化的分类工作流程。对于希望拥有本地数据并可访问全球研究人员的澳大利亚公司来说，这是一个不错的选择。
位于印度的错误赏金和安全情报平台，提供以合规为重点的报告。研究人员社区评分并验证披露证书。在南亚企业市场的影响力不断扩大。
总部位于美国的托管漏洞赏金平台将人类渗透测试与众包研究人员相结合。为企业工作流程提供与 Jira 和 ServiceNow 集成的全面漏洞管理。
全球错误赏金平台，具有完整的公共项目目录和研究人员排行榜。注重透明度和开放计划列表。吸引寻求公共项目而无需邀请的独立研究人员。
德国漏洞研究平台和协调机构，拥有 15 年以上历史。大量公开披露的档案和活跃的研究人员社区。广泛用于德国企业VDP计划。
荷兰管理的错误赏金平台采用合规第一的方法。为荷兰政府部门、银行（ING、ABN AMRO）和科技公司提供服务。高度重视负责任的披露和 GDPR 合规流程。
东南亚领先的漏洞赏金平台，总部位于菲律宾。为区域金融科技、电子商务和政府组织提供服务。在本地化支持下不断壮大的东盟研究人员群体。
CyStack 提供的越南首屈一指的错误赏金平台。主办越南领先银行、电信和科技公司的项目。东南亚地区强大的研究人员社区，拥有透明的公共项目。
智能合约审计平台将人工智能分析与竞争性审计竞赛相结合。为 Solana 和 EVM 项目提供服务，并不断壮大审核员社区。新区块链安全审计员的可访问入口点。
日本开源错误赏金和功能请求平台。资助开源项目中的漏洞修复和功能开发。独特的众筹赏金模式，社区成员针对问题汇集奖励。
免费开放的非商业 VDP 平台，已提交 30K+ 程序和 2M+ 报告。举办全球数量最多的 VDP 项目。 CVE 分配、符合 ISO 29147 的工作流程，组织无需支付任何费用。
位于巴尔干地区的漏洞赏金平台利用该地区不断增长的安全人才库。为区域企业提供服务，并为西巴尔干研究人员进入全球安全项目提供途径。
北欧地区管理的错误赏金和 VDP 平台。为需要符合 GDPR 的本地管理安全计划的斯堪的纳维亚银行、电信公司和政府机构提供服务。完全集成 DAST 的工作流程。
总部位于美国的竞争性错误赏金平台，具有排行榜游戏化和研究人员声誉评分。专注于为研究人员和组织提供透明的项目管理和公平、一致的奖励结构。
总部位于新加坡的精英漏洞赏金平台，拥有经过严格审查的私人研究人员社区。为新加坡政府机构、MAS 监管的金融机构和东盟科技公司提供服务。
印度尼西亚错误赏金平台采用社区优先的方法。为印度尼西亚大型安全研究人员社区与国内和区域企业客户搭建桥梁。具有透明范围定义的活动程序列表。
下一代错误赏金平台具有简化的用户体验和现代程序管理工具。公共狩猎门户网站的项目列表不断增加。通过快速、透明的分类流程，以全新的方式获得研究人员的体验。
覆盖欧洲和拉丁美洲的多区域平台，提供双语节目支持。透明的研究人员排行榜和公共项目目录。针对这两个地区的组织不断扩大跨市场影响力。
印度错误赏金平台，具有企业级程序管理。为寻求经过审查的印度安全研究人员的国内公司提供服务。面向 RBI 监管和 SEBI 监管组织的合规性报告。
伊朗领先的漏洞赏金平台将国内安全研究人员与波斯语企业联系起来。具有波斯语支持的本地化程序管理。通往伊朗庞大安全人才库的独特门户。
拉丁美洲漏洞赏金平台，总部位于智利。为南美银行、金融科技公司和政府门户网站提供服务。西班牙语平台将拉美安全人才与该地区不断增长的数字经济联系起来。
具有公共排行榜的越南漏洞披露和错误赏金平台。为寻求熟悉当地监管环境和商业环境的国内研究人员的越南企业提供服务。
韩国漏洞赏金和VDP平台，服务于韩国企业、游戏公司和电子商务平台。本地化的韩语经验将国内安全研究人员与韩国主要品牌联系起来。
Mozilla 的专注于 AI/LLM 的错误赏金平台。针对大型语言模型、人工智能系统和生成式人工智能基础设施中的漏洞。处于快速发展的人工智能系统安全学科的前沿。
澳大利亚区块链安全公司提供智能合约审计和错误赏金计划。为亚太地区的 Web3 项目提供服务，寻求 DeFi 和 NFT 平台的本地时区支持和监管合规性。
C 级 — 新兴和 VDP 平台
$100–$1,000 或基于声誉的奖励。政府 VDP、区域平台和新生生态系统构建了全球安全社区。
美国 CISA 为民事联邦机构提供的协调漏洞披露平台。非货币但具有显着的可信度。涵盖 .gov 域和美国关键基础设施。
英国国家网络安全中心针对政府系统的 VDP。非货币认可。针对 .gov.uk 基础设施和英国关键国家基础设施的研究人员的关键计划。
澳大利亚政府协调联邦机构系统的 VDP。澳大利亚网络弹性战略的一部分。对政府资产负责任的披露的非货币认可。
新加坡 GovTech 的 VDP 涵盖所有政府数字服务。亚洲最成熟的政府 VDP 计划之一，具有结构化的响应和公共研究人员的认可。
瑞士国家网络安全中心联邦系统漏洞报告计划。这是瑞士积极主动的国家网络安全方法的一部分，具有结构化的负责任的披露流程。
荷兰漏洞披露研究所——一个扫描互联网漏洞的志愿者集体。在全球范围内协调负责任的披露。没有金钱奖励，但有巨大的公众影响和社区认可。
BI.ZONE（俄罗斯联邦储蓄银行子公司）提供的俄罗斯领先的企业漏洞赏金平台。为俄罗斯主要企业和国有企业提供服务。接触俄语安全研究人员和国内项目基础设施。
Positive Technologies 的平台与著名的对峙网络靶场事件相关。将 CTF 竞赛文化与实时 bug 赏金计划相结合。俄罗斯网络安全社区的大力参与。
俄语漏洞赏金平台，为国内企业和政府相关组织提供服务。最早为俄语安全社区提供公共和私人项目的专用平台之一。
360安全重大漏洞赏金平台（“补丁天空”）——中国最大的漏洞披露平台之一。为数百家中国企业提供服务。国内顶尖的安全人才中心，拥有庞大的研究人员群体。
Pwnzen 的中国错误赏金和漏洞情报平台。有竞争力的季节性排行榜和大型公共节目目录。与中国企业客户的威胁情报集成。
日本专门为日本国内企业服务的漏洞赏金平台。在日本安全研究人员与难以通过全球平台接触的国内公司之间架起桥梁。本地化的日语工作流程。
沙特阿拉伯的国家漏洞赏金平台与 2030 年愿景数字化转型目标保持一致。为沙特政府实体、银行和电信公司提供服务。海湾合作委员会地区安全研究人员社区不断壮大。
亚美尼亚的漏洞赏金平台为国内科技公司和初创公司提供服务。利用亚美尼亚蓬勃发展的技术生态系统和才华横溢的安全研究社区。南高加索地区的新兴平台。
巴西领先的漏洞赏金平台，提供来自主要银行（Banco do Brasil、Itaú）、金融科技公司和企业的计划。最大的拉丁美洲安全研究人员社区。葡萄牙语，带有公共排行榜。
Gero Security（印度尼西亚）的开源自托管 VDP 平台。组织可以运行自己的错误赏金/VDP 基础设施，而无需依赖第三方。可以为任何组织免费使用、分叉和定制。
位于肯尼亚的非洲新兴漏洞赏金平台。为非洲金融科技、电信和移动货币平台提供服务。利用非洲大陆不断增长的安全人才，将非洲组织引入众包安全领域。
尼泊尔第一个专门针对国内科技公司和初创公司的漏洞赏金平台。活跃的尼泊尔安全社区，设有公共排行榜。南亚研究人员进入区域企业项目的途径。
新西兰针对新西兰企业和政府实体的漏洞赏金平台。为偏爱国内安全测试计划的新西兰组织提供数据主权和本地研究人员参与。
尼日利亚网络安全平台将错误赏金计划与安全培训相结合。为西非企业和金融科技公司提供服务。通过培训、CTF 和直播节目发展尼日利亚的安全研究社区。
中国领先的区块链安全公司，拥有自己的漏洞赏金协调计划。专注于交易所黑客、DeFi 漏洞和 Web3 安全。亚洲加密生态系统违规的重大事件响应者。
印度漏洞赏金平台，面向中小企业和初创企业进入众包安全领域。通过预先筛选的印度安全研究人员进行具有成本效益的项目管理。对于印度科技公司推出第一个项目来说是一个很好的切入点。
马来西亚错误赏金平台将国内研究人员与当地企业联系起来。为马来西亚银行、政府机构和电信公司提供服务。为马来语客户和研究人员提供本地化支持。
LRQA Nettitude 为英国和欧洲企业提供的托管错误赏金平台。经过 CREST 认证的方法，具有以合规为导向的可交付成果。将传统咨询与受监管行业的众包测试相结合。
总部位于英国的错误赏金平台，为寻求本地数据驻留和合规性的英国企业提供。私人项目管理与经过审查的研究员入职。在英国金融科技和媒体领域的影响力不断扩大。
具有安全挑战的众包平台以及编码和设计。 Bug 赏金是 Topcoder 拥有超过 180 万会员的人才平台的一个子集。对于需要集成开发+安全测试的组织很有用。
德国人群测试平台，在全球拥有超过 70 万测试人员，结合了 QA、可用性和安全测试。安全轨道适用于希望一次性进行功能和安全测试的欧洲企业。
Uber 的 HackerOne 计划涵盖 Uber.com、Uber Eats 和司机/乘客应用程序。违规后的改进使其成为企业责任的典范。范围涵盖移动应用程序、API 和拼车平台基础设施。
来自智利的拉丁美洲漏洞赏金平台。为南美银行、金融科技公司和政府门户网站提供服务。西班牙语平台将拉美安全人才与该地区不断增长的数字经济联系起来。
荷兰 NCSC 的协调漏洞披露——帮助建立欧洲 CVD 最佳实践的模型。非货币但在负责任的披露政策方面具有全球影响力。涵盖荷兰政府系统。