Anyone Protocol主网上线前启动五重CTF漏洞赏金计划，邀你挑战服务器与智能合约

Anyone 漏洞赏金计划

随着我们为主网准备基础设施，将其开放给社区进行外部测试是我们公开证明技术栈的方式。这不仅展示了对我们构建的基础设施的自信，也体现了我们自身流程的透明度。

在这篇与我们的首席架构师 Kanshi 合作撰写的文章中，我们将分解不同类型的挑战，概述规则和约束，并向您介绍该计划的运作方式。

该挑战尚未上线，本公告旨在让社区为即将启动的活动做好准备。参与挑战所需的种子详情和其他具体信息将在上线时公布。

挑战设置

Anyone 正在其预演环境（staging）中举办一场包含五个轨道的“夺旗”（CTF）挑战赛，奖池由硬件设备、Anyone 代币和 USDT 组成。

我们围绕不同的预演环境设置了五个轨道，并将提供种子详情（服务器 IP、端点、合约地址、AO 进程 ID）以便开始每个轨道的挑战。

参与者将仅测试指定范围内的目标，捕获所需的证明和简要方法，并通过指定的隐藏服务使用指定模板提交他们的发现。我们将在 48 小时内进行评审，修复已验证的问题，修复后发布报告，并支付赏金！

如果您喜欢在服务器、网络、代码仓库、合约和 AO 进程中寻找边缘漏洞，那么这个活动非常适合您。本文将详细介绍该计划的更多信息。

五个挑战轨道

本节概述了五个轨道，包括它们的目标、目的、可接受的证明、赏金和难度。

1. 代码考古学 —— 开发边界 (简单)

• 目标： Anyone 公共代码仓库和提交历史。
• 目的： 从 Anyone 的 GitHub 账户中查找泄露的密钥/令牌/凭据。
• 成功证明：
  • 指向提交/文件的链接。
  • 证明其未被轮换且仍处于活跃状态。
  • 证明它在组织外部可访问（例如，您的 Action 运行记录）。
• 赏金： 前10个独特秘密中的每一个可获得一个硬件中继器。

2. 操作室 —— 网络边界 (中等)

• 目标： Ops UI 端点 (*.ops.anyone.tech)
• 目的：
  • 在没有有效凭据的情况下绕过 oauth2_proxy。
  • 访问您本无权访问的服务。
  • 如果可能，将只读权限提升为写入权限。
• 成功证明： 未经授权访问的屏幕截图以及您请求的 HTTP 日志。
• 赏金： 前3个独特利用中的每一个可获得 2000 个代币。
  • 注意：Grafana 有自己的身份验证。同时绕过两层验证可获得额外好评。

3. 进程劫持 —— AO 协议 (困难)

• 目标： 预演环境 AO 进程（中继/质押/操作员注册表）。
• 目的： 执行未经授权的写入操作或将权限从只读提升。
• 成功证明： 进程交易 ID 和方法文档。
• 赏金： 前3个独特利用中的每一个可获得 5000 个代币。

4. 持有者金库 —— 智能合约 (困难)

• 目标（预演环境）： 预演环境 Hodler 合约（地址将稍后提供）。
• 目的：
  • 耗尽资金。
  • 操纵状态、实现重入或任何严重漏洞。
• 成功证明： 预演环境上的交易哈希和详细的利用报告。
• 赏金： 10,000 USDT。

5. Anyone 之墙 —— 服务器边界 (非常困难)

• 目标： 指定的 dev-box 及其参考设置。
• 目的：
  • 获得未经授权的 SSH 访问权限，或
  • 绕过防火墙规则，
  • 权限提升至 root 角色。
• 成功证明： 生成一个包含 CTF_FLAG_FORTRESS_[您的公钥]_[时间戳] 的系统日志条目。
• 赏金： 20,000 USDT。

额外奖励挑战

• a) 首杀： 第一个捕获到任意 flag 的人将额外获得 +250 个代币。
• b) 白皮书： 最佳报告/方法将额外获得 +500 个代币。

关于测试范围

只有下列资产属于本次 CTF 的测试范围。所有测试必须针对预演环境，且仅针对范围内提及的目标。

完整的范围内目标列表，包括服务器 IP、Ops 端点、合约地址和 AO 进程 ID 等，将很快公布。目前，参与者可以先熟悉一下将包含的大致类别。

范围内：

• 服务器：
  • 操作系统
  • SSH
  • 防火墙
  • WireGuard 接口
• 网格端点：
  • oauth2
  • Grafana
  • 网络信息服务
• GitHub:
  • 公共代码仓库
  • 提交历史
  • GitHub Actions 配置 / CI/CD
• 区块链：
  • AO 进程：
    • 中继奖励
    • 质押奖励
    • 操作员注册表

范围外：

• 生产/线上基础设施
• 团队成员个人账户/电子邮件
• 社区成员数据
• 此处未列出的任何端点
• 线上/主网合约或进程

允许的行为

• 枚举指定目标
• 尝试认证（每个端点 ≤20 次/小时）
• 分析公共仓库
• 测试预演环境合约
• 负责任地使用自动化工具
• 记录所有操作

禁止的行为

• DDoS/资源耗尽
• 对团队或社区进行网络钓鱼
• 访问或修改其他参与者的提交
• 修改/删除数据（证明您有能力做到即可）
• 在修复完成或计划结束前公布细节
• 利用零日漏洞完成挑战

意外情况处理

• 意外接触到生产环境 → 立即停止并通过支持渠道通知我们。
• 发现严重漏洞 → 在您的提交中标记为紧急。
• 造成服务中断 → 停止测试并通知我们。

提交模板

我们在 Anyone 网络中创建了一个专门的隐藏服务，供参与者提交他们的发现。

提交内容：

• 标题/提交：
• 用户名： 您的化名
• 公钥： 用于接收奖励
• 轨道： 1–5
• 时间戳： 您捕获到漏洞的时间
• 利用证明： 屏幕截图、日志、交易哈希等
• 方法（简述）： 您是如何发现的？2-3 句话
• 影响评估： 攻击者可以利用此漏洞做什么？低/中/高/严重
• 详细报告： 可选；支付赏金时需要。可在计划结束后补充
• 保密协议： 我同意在 Anyone 团队发布修复和公开报告之前不公开此发现。

双方的共同承诺

参与者同意：

1. 仅测试指定范围内的目标（仅限预演环境）。
2. 负责任地报告发现，并提供足够详细的信息以便复现。
3. 在我们完成修复并公布之前，不公开细节。
4. 接受我们关于赏金的最终决定。

我们（Anyone 团队）同意：

1. 在 48 小时内回复您的提交。
2. 及时修复已验证的问题。
3. 在公开报告中署名（如果您愿意，也可以保持匿名）。
4. 在计划结束后的 30 天内支付赏金。

该计划是一种在主网上线前，让更多人关注我们预演环境技术栈并加强它的有效方式。我们很高兴能很快向社区开放这个活动，并将优秀的报告转化为持久的改进。现在，请熟悉测试范围，查看提交模板，并准备好在挑战上线后参与其中。

感谢您帮助我们使 Anyone 更安全。准备好寻猎了吗？敬请期待，Anyone 的赏金即将到来。FINISHED

CSD0tFqvECLokhw9aBeRqr6Fhgq4rBOzMVK+udcYXFcf+tq3QJzDuBp0rF3ITaCSFL6Os+WOVB7NmKTxdKUaqJ4vtzqzPn9NeLb8i4KTQeQ=