ZCG 보안·취약점 공개 이니셔티브

Zcash Community Grants(ZCG)가 보안·취약점 공개 이니셔티브를 발표했다. 3월 31일 Sprout 풀 검증 취약점 공개와 4월 17일 zcashd·Zebra 추가 이슈 공개를 거치며 프로토콜이 직면한 위협과 생태계의 대응 능력이 모두 드러났다고 평가했다. 사용자 자금은 보호됐다. ZCG는 AI 보조 분석으로 공격이 빨라지고 있어 지속적인 외부 보안 연구가 필요하다고 보고, 책임 있게 공개된 핵심 저장소 취약점의 보상으로 100만 달러를 따로 배정했다.

첫 조치로 독립 연구자 Alex Sol에게 이전에 지급된 보상(첫 공개 200 ZEC, 두 번째 100 ZEC)을 같은 금액으로 한 번 더 지급해 총 600 ZEC를 보상했다. 이 풀은 기한이 없으며 공개가 있을 때 꺼내 쓰도록 비축된다. 대상은 핵심 생태계 조직 외부의 독립 연구자와 조직이다. ZODL, ZF, Shielded Labs, Zingolabs, Least Authority에 고용되거나 계약된 엔지니어는 대상에서 제외된다.

저장소는 세 범주로 나뉜다. zcashd, Zebra, librustzcash의 핵심 노드만 치명 등급을 받을 수 있다. Zallet, Zaino, lightwalletd의 지원 인프라와 zcash-devtool, z3의 개발 도구는 높음 등급까지만 인정된다. 평가는 발행·공급량, 프라이버시, 가치 저장, 최종성이라는 네 가지 핵심 원칙에 따르며, Immunefi 분류 체계 v2.3을 위조와 비식별화까지 다루도록 확장한 치명, 높음, 중간, 낮음 네 단계 등급을 쓴다.

기본 지급액은 범주와 등급으로 정해지고, 재량으로 기본액의 최대 50%까지 보너스가 붙는다. 지급은 USD 기준이며 셀드 ZEC로 이뤄진다. 연구자는 ZCG에 청구하지 않으며, 분류와 수정이 끝나면 담당 수정팀이 대신 지급을 요청한다. 같은 이슈는 선착순이 아니라 실제로 수정 착수를 가능케 한 보고에 보상하고, 저품질 AI 보고는 처리가 늦어질 수 있다. 5만 달러를 넘는 지급에는 KYC가 필요하고, 취약점 보고는 ZCG가 아니라 각 저장소의 SECURITY.md 채널로 해야 한다.

회로 형식 검증처럼 개별 취약점을 넘는 가치가 큰 추가 기여에는 일부 소급 보조금을 검토한다. 취약점 사냥 시간 자체를 보상하는 용도는 아니다. 트리아지와 등급 판정, 공동 지급 구조는 ZODL, ZF, Shielded Labs와 협의 중이어서 세부 사항은 확정되는 대로 공유된다. 행정은 Financial Privacy Foundation(FPF)이 지원한다.