去中心化交易聚合器 1inch 近期上线五重漏洞赏金计划，总奖金池高达 77 万美元，将 DeFi 安全由被动响应转为主动狩猎。无论你是白帽黑客、审计师，还是普通用户，只要发现威胁即可共享丰厚回报。本文带你逐条拆解每个计划的关键词：漏洞赏金、智能合约审计、钱包安全、API 安全、dApp 安全、基础设施加固、1inch。
1inch 赖以成名的流动性聚合智能合约，负责在数十个 DEX 之间并行询价、下单、拆分路径。代码一旦出现逻辑缺陷，轻则滑点异常，重则直接被盗。因此，该计划对以下场景开出高额赏金：
重入攻击、闪电贷套利、价格操纵
授权鉴权漏洞（如恶意的
approve设置）动态手续费计算误差导致的利差泄漏
只要你能在主网合约上复现并提交报告，奖金从 500 美元一路飙升至 500,000 美元，遵循业界最高 CVSS 3.1 评分机制并全链公开追踪修复。
多链非托管钱包已支持 Ethereum、BSC、Polygon、Arbitrum 等网络，核心风险集中在：
Keystore 助记词本地泄露
签名钓鱼：dApp 调用
eth_sign诱导用户签署危险信息链上地址混淆攻击（address poisoning）
提交思路：请复现可在真机或模拟器完整攻击链，包含截图、PoC 代码，即可获得最高 10 万美元悬赏。
1inch Developer Portal 提供订单路由、报价、Gas 优化三大 API；任何接口的越权访问、速率限制绕过、SSRF、SQL 注入皆在射程内。建议白帽先阅读官方 OpenAPI 文档，再配合 Burp Suite 或 Postman 构造恶意请求。高评分漏洞需证明能够泄露其他开发者的私有 API Key。
**Q：提交后能公开漏洞细节吗？**A：在官方确认修复并给出公开时间表前禁止披露，以确保用户安全。
**Q：接收中文报告吗？**A：支持中英双语，技术描述建议使用英语，便于评审团队复现。
**Q：赏金多久到账？**A：通过 HackenProof 审核后，14 个工作日内链上转账完成。
作为用户交互第一站，1inch dApp 的「闪电路由」被恶意脚本篡改，就可能把用户交易导向假代币合约。主要检查点：
CSP/XSS 绕过导致 DOM 投毒
私链网络切换诱骗（例如把 RPC 改至攻击者节点）
Web3-onboard 配置错误致签名无人审核
若想提升成功率，可结合 React DevTools 观察状态链，确认前端路由与链上 calldata 是否保持一致。
虽奖金略低，但影响面最大，涉及：
RPC 节点 DDoS 防护缺陷
GraphQL 解析器 DoS（复杂度炸弹）
CI/CD 流程凭据泄露
实战技巧：从公开的 GitHub Action 日志嗅探接口 Token，再在基础设施端回放，一旦触发防爬机制混乱即可摘奖。
注册与阅读规则：登陆 HackenProof，绑定 ETH 或邮箱，阅读各子平台规则细则。
复现与记录：提供复现视频 + GitHub PoC 仓库可大幅提升评级。
跟进与发放：官方工程师每 48 小时内回复初始反馈，修复后锁定对应链上 tx 作为凭证。
**Q：是否会歧视小号或匿名提交？**A：不会，HackenProof 支持 Tornado Cash 隔离地址领取赏金，隐私与信誉兼得。
**Q：团队内部员工能否参加？**A：不能，本项目仅面向外部研究人员，另有内部红蓝对抗活动。
**Q：同一漏洞能否分多平台重复申报？**A：禁止「一洞多吃」，如合约漏洞已提交智能合约计划，不允许再次在 dApp 计划提报。
无论你是偏好深度智能合约审计，还是擅长钱包安全或API 攻防，1inch 五重金盾都在等你来战。立即开启白帽生涯，77 万美元也许只需要一个灵光乍现的 PoC。祝你狩猎愉快！