Le monde des primes aux bugs cryptographiques récompense souvent les chercheurs qui empêchent discrètement des exploits catastrophiques. Mais parfois, l’histoire derrière ces correctifs suscite la controverse.
Un chercheur en sécurité affirme maintenant qu'il a contribué à protéger plus de 500 millions de dollars d'actifs sur la blockchain Injective, pour ensuite se voir offrir une fraction de la prime maximale promise pour les vulnérabilités critiques.
Le différend attire désormais l'attention des communautés de sécurité et de cryptographie, soulevant de nouvelles questions sur la transparence des programmes de bug bounty et sur la manière dont les projets traitent les chercheurs qui aident à protéger leurs réseaux.
Un historique de chasse aux insectes réussie
Avant l'incident d'Injective, le chercheur, connu en ligne sous le nom d'al_f4lc0n, s'était bâti une solide réputation dans le domaine des bug bounty. Il participe fréquemment à des concours de sécurité et à des programmes de primes hébergés sur Immunefi, l'une des plus grandes plateformes de primes de bogues Web3.
Son palmarès comprend plusieurs réalisations de haut niveau. Il a obtenu la première place à l'Attackathon | Il empile la concurrence et répète ce succès lors de l'Attackathon | Piles II. Il a également terminé premier du XRPL Lending Protocol Attackathon, démontrant un succès constant dans l'identification de vulnérabilités graves.
En dehors des compétitions, il a également signalé plusieurs problèmes via des programmes de bug bounty, dont au moins une vulnérabilité critique et un bug de haute gravité avant la découverte d'Injective.
De son propre aveu, les choses allaient bien. La chasse aux insectes était devenue à la fois une passion et une source fiable de revenus.
Cela a changé lorsqu’il a découvert une faille qui, selon lui, aurait pu permettre aux attaquants de drainer des fonds directement des comptes d’utilisateurs sur la blockchain Injective.
Une vulnérabilité critique met 500 millions de dollars en danger
En analysant l'infrastructure d'Injective, le chercheur affirme avoir découvert une vulnérabilité critique capable de compromettre n'importe quel compte de la chaîne.
La faille ne nécessiterait aucune autorisation spéciale ni accès élevé. Selon son explication, tout utilisateur malveillant pourrait potentiellement exploiter la vulnérabilité pour drainer des fonds directement d'autres comptes.
Compte tenu de l’ampleur de l’écosystème d’Injective, les dégâts potentiels auraient pu être énormes. Le chercheur estime que plus de 500 millions de dollars d’actifs en chaîne étaient exposés à des risques au moment où le bug existait.
Au lieu d'exploiter la vulnérabilité, il a choisi de la divulguer de manière responsable via Immunefi, la plateforme qui gère le programme de bug bounty d'Injective.
Le rapport a été soumis en privé pour garantir que la vulnérabilité puisse être corrigée avant que les attaquants ne la découvrent.
Injective agit rapidement pour résoudre le problème
Peu de temps après la remise du rapport, la réponse semble confirmer la gravité de la découverte.
Selon le chercheur, une proposition de mise à niveau du réseau principal a été présentée dès le lendemain. La mise à niveau est passée par le processus de gouvernance d'Injective et comprenait un correctif pour la vulnérabilité signalée.
Pour lui, cette réaction rapide montre que l’équipe d’Injective a parfaitement compris la gravité du problème.
Le bug a été corrigé avant toute exploitation publique, ce qui signifie que l'écosystème a évité ce qui aurait pu être l'une des attaques les plus dommageables de son histoire.
À ce stade, le chercheur s'attendait à ce qu'un processus typique de bug bounty suive : discussions techniques, confirmation de la gravité et, éventuellement, une récompense basée sur la structure de paiement publiée par le programme.
Au lieu de cela, il affirme que le processus est au point mort.
Trois mois de silence après le correctif
Suite au patch, le chercheur affirme que la communication s’est soudainement arrêtée.
Il dit qu’il n’y a eu aucune discussion de suivi, aucune demande de précisions techniques supplémentaires et aucune explication sur le calendrier des récompenses.
Selon son récit, près de trois mois se sont écoulés sans communication significative de la part du projet concernant le paiement de la prime.
Pour les chercheurs en sécurité qui dépendent des programmes de bug bounty, un tel silence peut être frustrant. La divulgation responsable exige généralement que les chercheurs évitent de révéler publiquement les détails des vulnérabilités jusqu'à ce que le projet les résolve.
Cela signifie que le chercheur ne pouvait pas discuter ouvertement de sa découverte en attendant la fin du processus de récompense.
Après des mois sans mises à jour, il a finalement reçu une décision du projet.
L'offre de prime suscite un différend
Lorsque la réponse est finalement arrivée, le chercheur a déclaré que le projet lui avait offert 50 000 $ pour cette vulnérabilité.
Ce chiffre a immédiatement suscité des inquiétudes.
Selon les règles du programme Injective bug bounty sur Immunefi, le paiement maximum pour une vulnérabilité critique est de 500 000 $. Ce chiffre est généralement réservé aux bogues capables de provoquer des pertes financières catastrophiques ou de compromettre le système.
Compte tenu de l’impact potentiel de la vulnérabilité qu’il a signalée, le chercheur a estimé que la récompense aurait dû être beaucoup plus élevée.
Il a contesté la décision de paiement, demandant une explication sur la manière dont le montant avait été déterminé et pourquoi il était nettement inférieur à la fourchette maximale pour les questions critiques.
Mais il dit que la réponse n’est jamais venue.
Un chercheur déclare que le paiement n’a pas été envoyé
Ajoutant à la frustration, le chercheur affirme que la prime de 50 000 $ n'a pas encore été versée, malgré la décision communiquée.
Il affirme également que le projet n'a pas fourni d'explication détaillée sur la récompense réduite ou sur le long retard de communication.
La situation l'a incité à parler publiquement du différend dans un message sur X (anciennement Twitter), où il a décrit l'expérience et partagé sa frustration face au processus de bug bounty.
J'ai économisé 500 millions de dollars d'Injective. Ils me paient 50 000 $.
J'aime chasser les insectes @immunefi . Je suis bon dans ce domaine.
– #1 – Attaquethon | Piles
– #2 – Attaquethon | Piles II
– #1 – Attaquethon | Protocole de prêt XRPL
– 1 Critique et 1 Élevé pour les bug bounties (sans compter celui-ci)La vie était…
– f4lc0n (@al_f4lc0n) 15 mars 2026
Dans son message, il explique que même s'il ne peut pas forcer le projet à augmenter la récompense, il a l'intention de garder le problème visible.
Il a également annoncé son engagement personnel à consacrer 10 % de ses futurs revenus de bug bounty au maintien de l'attention sur l'affaire jusqu'à ce qu'une compensation qu'il considère comme équitable soit fournie.
La transparence du Bug Bounty sous surveillance
Le différend met en évidence une préoccupation récurrente au sein de la communauté de sécurité Web3.
Les programmes de bug bounty sont conçus pour inciter les chercheurs à divulguer les vulnérabilités de manière responsable plutôt que de les exploiter. Pour que le système fonctionne efficacement, les chercheurs doivent être sûrs que les programmes honoreront leurs structures de récompense.
Lorsque des désaccords surviennent, notamment ceux impliquant des vulnérabilités très graves, ils déclenchent souvent des discussions plus larges sur la transparence, l'équité des paiements et la communication entre les projets et les chercheurs.
Dans ce cas, le chercheur estime que sa découverte a protégé des centaines de millions de dollars d’actifs. Le projet n'a cependant pas expliqué publiquement le raisonnement derrière la récompense de 50 000 $.
Jusqu'à ce que des éclaircissements soient apportés, la situation reste un conflit non résolu entre un chasseur de bogues qui prétend avoir sauvé un réseau d'un exploit dévastateur et un projet qui n'a pas encore expliqué sa décision.
Pour l’instant, le chercheur affirme qu’il continuera à faire connaître l’histoire au public, en espérant que cela encouragera une plus grande responsabilisation au sein de l’écosystème croissant des bug bounty du Web3.
Divulgation : Il ne s’agit pas de conseils en matière de trading ou d’investissement. Faites toujours vos recherches avant d’acheter une crypto-monnaie ou d’investir dans un service.
Suivez-nous sur Twitter @nulltxnews pour rester à jour avec les dernières nouveautés Crypto, NFT, IA, cybersécurité, informatique distribuée et Actualités du métaverse!