SuperForm vient de lancer un bug bounty en direct sur Cantina, et ça vaut vraiment le coup d’être regardé. Bugs critiques = jusqu’à 100 000 USDC et des tokens $UP Gravité élevée = jusqu’à 20 000 USDC et des tokens $UP Pour contexte, SuperForm est un protocole non-custodial qui permet à quiconque de créer et de distribuer des produits financiers sur chaîne. En gros, ils permettent aux curateurs de construire des vaults de rendement (Supervaults) sur plusieurs stratégies. La couche de sécurité est folle : ils utilisent un oracle attesté par validateur + une validation en double merkle hook pour maintenir une comptabilité précise du prix par part. C’est beaucoup de composants mobiles, ce qui explique probablement pourquoi ils ont besoin de chercheurs dessus. En ligne depuis le 1er mai 2026 avec déjà 22 signalements soumis. Qu’est-ce qui compte comme critique ? Des choses comme « vol direct du capital depuis n’importe quelle Supervault », « création non autorisée ou inflation des parts de Supervault », ou la contournement de la validation de signature de l’oracle PPS. En bref, si vous pouvez vider les fonds ou falsifier la comptabilité à grande échelle, c’est le niveau « big bag ». Le niveau élevé couvre des cas comme le vol de frais non réclamés ou le gel des fonds utilisateurs pendant 48 heures ou plus. Le niveau moyen est récompensé uniquement en $UP, ce qui est un indice qu’ils ne prennent pas ces problèmes trop au sérieux. Quelques pièges toutefois : - KYC requis avant paiement (oui, il faut vous dévoiler en premier lol) - Dépôt de 20 $ pour rejoindre - Pas de tests sur le mainnet, uniquement des forks locaux - Vous devez avoir un POC fonctionnel (Foundry ou Hardhat) ou votre soumission sera rejetée On peut dire que c’est conçu pour des chercheurs en sécurité sérieux, pas pour des chasseurs occasionnels. L’architecture double merkle + oracle est suffisamment complexe pour qu’un vrai bug critique demande une connaissance approfondie de l’EVM et du temps. L’architecture de @superformxyz est vraiment intéressante ; si vous êtes développeur ou chercheur en contrats intelligents, le rapport risque/récompense ici n’est pas mauvais du tout. Pour le degen moyen, comme moi, ce n’est pas pour nous lol, mais ça vaut la peine d’observer ce qui en sort. Je viens de créer un compte Cantina. Pas que je vais chasser des bounties ou quoi que ce soit. Au fait, @cantinasecurity, pourquoi vous n’avez pas un thème sombre ? 👀