BendDAO V2
Bug Bounty Program
NFT lending протокол с cross-lending, isolate lending, flash loans и yield strategies. Максимально раскрепощённая программа с акцентом на fork-based live drain PoC. Только локальные форки.
Что такое BendDAO V2
NFT lending протокол с advanced features для collateralized borrowing.
BendDAO V2 — это децентрализованный NFT lending протокол, позволяющий пользователям использовать NFT как collateral для займов. Протокол поддерживает cross-lending, isolate lending, flash loans и различные yield strategies включая ETH staking через Lido и Ether.fi.
🎯 Ключевая механика
Пользователи депозитят NFT в протокол, получают возможность borrow against их NFT collateral. Протокол управляет liquidations, interest rates через DefaultInterestRateModel, и интегрируется с yield protocols для генерации дополнительного дохода.
🖼️ NFT Lending
Borrow против NFT collateral с автоматическими liquidations.
🔄 Cross-Lending
Cross-collateral и cross-asset lending возможности.
⚡ Flash Loans
Unsecured loans для arbitrage и liquidation strategies.
📈 Yield Strategies
ETH staking через Lido, Ether.fi, USDS savings и другие.
Что можно тестировать
Все контракты проекта на Ethereum mainnet + любые найденные связанные контракты.
Core Infrastructure
Address Provider & ACL
Price Oracles
Pool Management
Protocol Modules
Core Modules
Lending & Liquidation
Yield Strategies
ETH Staking & Savings
Migration
V1 Migration
🔍 Additional Contracts — Open Scope
МОЖНО ТЕСТИРОВАТЬ ЛЮБЫЕ КОНТРАКТЫ, СВЯЗАННЫЕ С ПРОЕКТОМ.
Если нашли контракт, который явно принадлежит BendDAO проекту, но не перечислен выше — тестируйте его. Мы поощряем самостоятельный поиск дополнительных targets.
Источники для поиска:
- Etherscan verified contracts
- Frontend bundle и app config
- Deployment scripts и GitHub repository
- Registry/factory contracts
- Events и transaction logs
- Proxy implementation slots
- Addresses provider / config contracts
- Treasury / fee collector / vaults
- Multisig / proxy admin
- Strategy contracts и integrations
Fork-Based Testing
Полная свобода на локальных форках с эмуляцией реальных транзакций.
🔥 Что можно делать
Local Fork Testing
- Создание локальных форков Ethereum mainnet
- Эмуляция реальных транзакций на форке
- Тестирование всех user flows в fork environment
- Воспроизведение attack scenarios с реальными данными
Live Drain PoC на локальном форке
- Попытки drained funds из протокола на форке
- Тестирование reentrancy на эмулированных балансах
- Oracle manipulation attempts на форке
- Liquidation logic exploitation
- Interest rate manipulation
Live Transaction Emulation
- Эмуляция реальных NFT депозитов
- Эмуляция borrow и repay операций
- Эмуляция liquidations
- Эмуляция flash loans
- Эмуляция yield strategy interactions
Protocol Stress Testing на форке
- Массовые депозиты/withdrawals на форке
- Rapid-fire borrow/repay операции
- Concurrent liquidations
- Edge cases testing
🎯 High Priority — Live Drain PoC
Максимальные выплаты за demonstrated drain на локальном форке:
💸 Direct Fund Drainage
Любые сценарии кражи средств из pools, vaults, yield strategies или связанных контрактов.
📊 Accounting Exploits
Манипуляции с interest calculation, liquidation logic, share accounting и fee calculation.
🔓 Access Control
Unauthorized role escalation, admin function abuse, ownership takeover.
🎯 Oracle Manipulation
Price feed manipulation leading to incorrect liquidations или borrow capacity.
📊 Severity & Rewards
Условие: Demonstrated fund drainage на локальном форке с emulated live transactions
- Direct loss of user funds
- Protocol insolvency
- Permanent freezing of funds
- Critical accounting manipulation
Условие: Partial fund loss или critical logic error, demonstrated на форке
- Partial loss of funds
- Critical logic errors
- Interest rate manipulation
- Fee extraction
Условие: Non-critical bugs с potential impact
- DoS возможности
- Information disclosure
- Best practice violations
Условие: Minor issues
- Gas optimization opportunities
- Code quality issues
Testing Workflow
Общий подход к fork-based testing с emulated live transactions.
1. Создать локальный форк
Ethereum mainnet с актуальным состоянием протокола.
2. Эмулировать реальные транзакции
NFT депозиты, borrows, liquidations, flash loans, yield interactions — всё на форке.
3. Тестировать attack vectors
Reentrancy, oracle manipulation, liquidation logic, access control, accounting issues.
4. Документировать drain attempts
Transaction hashes на форке, state changes, fund movements, profit/loss calculation.
🎯 Приоритет — Live Drain PoC
Мы ценим demonstrated fund drainage на локальном форке выше теоретических уязвимостей. Рабочий PoC с emulated live transactions — ключ к максимальным выплатам.
Live Drain PoC на Форке
Обязательные требования для Critical/High с live drain bonus.
1. Working PoC на локальном форке
- Точная копия chain state
- Реальные contract addresses
- Актуальные balances (на момент fork)
2. Emulated live transactions на форке
- Эмуляция реальных deposit/borrow/liquidation flows
- Transaction hashes на форке
- State changes documentation
3. Demonstrated fund movement на форке
- Clear proof of fund drainage
- Before/after balance snapshots
- Profit calculation
4. Reproducibility
- Step-by-step instructions для воспроизведения
- All parameters documented
- Team может reproduce на своем форке
Как отправить отчёт
Структура отчёта для fork-based live drain PoC.
1. Executive Summary
- Что нашли
- Какой impact (в ETH/USD)
- Affected contracts
2. Fork Setup
- Block number для fork
- RPC URL (если public)
- Initial state description
3. Attack Flow на форке
- Step-by-step с transaction hashes
- State changes после каждой транзакции
- Balance changes
4. PoC Code
- Working exploit contract
- Deployment script для форка
- Execution script для форка
5. Evidence с форка
- Transaction hashes
- Balance changes (before/after)
- Screenshots/logs
- Profit calculation
6. Reproduction Steps
- Commands для запуска форка
- Commands для deploy exploit
- Commands для execution и verification
7. Impact Assessment
- Сколько funds at risk в production
- Какие контракты affected
- Какие users affected
8. Suggested Fix (optional)
- Code changes
- Explanation
Reward Structure
Прозрачная система выплат с бонусами за live drain PoC.
Base Rewards
| Severity | Base Reward | Live Drain Bonus | Total Potential |
|---|---|---|---|
| Critical | $50,000+ | +50% | $75,000+ |
| High | $15,000 | +25% | $18,750 |
| Medium | $5,000 | — | $5,000 |
| Low | $1,000 | — | $1,000 |
Additional Bonuses
🥇 First Blood
+10%
Для первого valid report конкретного vulnerability class
🆕 Novel Vector
+20%
Для уникального attack vector
⛓️ Exploit Chain
+30%
За full end-to-end exploit на форке
🔍 Contract Discovery
+15%
За finding неочевидных контрактов проекта
Security Audits
Протокол прошёл множественные аудиты от ведущих security firms. Все reports доступны в GitHub repository: github.com/BendDAO/bend-v2/audits
Audit Reports
📚 Полная документация по security
Все audit reports и security documentation доступны в официальной документации:
Частые вопросы
Ответы на типичные вопросы о программе.
Additional Notes
Важные детали о проекте и программе.
⛓️ Chain
Ethereum mainnet only
✅ Contracts
Все verified на Etherscan
🏗️ Architecture
NFT lending с cross/isolate lending modules
🔗 Integrations
Lido, Ether.fi, USDS, WUSD и другие yield protocols
🛡️ Security
3 аудита от Code4rena и Verilog Solutions
🎯 Features
Flash loans, liquidations, yield strategies
📊 Modules
Installer, Configurator, BVault, PoolLens, Yield
🔬 Testing
Local fork-based с emulated live transactions
🔍 Discovery
Поощряется поиск дополнительных контрактов
🚀 Готовы к hunting?
Этот scope максимально раскрепощён для fork-based testing. Экспериментируйте на локальных форках, эмулируйте реальные транзакции, находите дополнительные контракты и получайте бонусы за live drain PoC.