O SuperForm acabou de lançar um bug bounty ao vivo na Cantina, e realmente vale a pena conferir. Bugs críticos = até 100.000 USDC e tokens $UP Alta gravidade = até 20.000 USDC e $UP Para contexto, o SuperForm é um protocolo não custodial que permite a qualquer pessoa construir e distribuir produtos financeiros on-chain. Basicamente, eles permitem que curadores criem vaults de rendimento (Supervaults) baseados em múltiplas estratégias. A camada de segurança é selvagem, porém: eles usam um oracle atestado por validadores + validação dupla por hook Merkle para manter a contabilidade do preço por ação limpa. São muitas peças móveis, o que provavelmente é o motivo de precisarem de pesquisadores nele. Está no ar desde 1º de maio de 2026, com 22 achados já submetidos. O que conta como crítico? Coisas como “roubo direto do principal de qualquer Supervault”, “cunhagem não autorizada ou inflação de ações da Supervault” ou contornar a validação da assinatura do oracle PPS. Basicamente, se você conseguir drenar fundos ou falsificar a contabilidade em escala, isso é o nível “big bag”. O nível alto cobre coisas como roubar taxas não reclamadas ou congelar fundos de usuários por 48+ horas. O médio é pago apenas em $UP, o que é, de certa forma, um sinal de que eles não levam esses casos tão a sério. Mas há algumas pegadinhas: - KYC obrigatório antes do pagamento (sim, se expõe primeiro, lol) - Depósito de $20 para participar - Nenhum teste no mainnet, apenas forks locais - Você precisa de um POC funcional (Foundry ou Hardhat) ou sua submissão será descartada É seguro dizer que isso foi feito para pesquisadores de segurança profissionais, não para caçadores casuais. A configuração dupla Merkle + oracle é complexa o suficiente para que encontrar um verdadeiro crítico exija conhecimento profundo de EVM e tempo. A arquitetura do @superformxyz é genuinamente interessante; se você é um desenvolvedor ou pesquisador de contratos inteligentes, o risco-recompensa aqui não é nada ruim. Para o degenerado comum, como eu, isso não é para nós, lol, mas vale a pena acompanhar o que sairá disso. Acabei de criar uma conta na Cantina. Não que eu vá caçar bounty ou algo assim. De qualquer forma, @cantinasecurity, por que vocês não têm um tema escuro? 👀