Immunefi Crédite 700 Chercheurs Pour Bugs Valides

Imaginez passer des heures, parfois des jours, à disséquer un smart contract, identifier une faille critique, préparer une preuve de concept impeccable, payer les frais de soumission… et recevoir en retour un simple message : « doublon » ou « problème déjà connu en interne ». La frustration monte, le portefeuille s’allège, et l’envie de continuer s’estompe. C’est exactement ce scénario que plus de 700 chercheurs en sécurité blockchain ont vécu ces derniers mois. Aujourd’hui, Immunefi change la donne avec un système de crédits qui leur rend ces frais, de manière rétroactive et automatique.

Un tournant majeur pour la communauté des chasseurs de bugs

Le 2 novembre 2026, la plateforme spécialisée dans les programmes de bug bounty a officialisé le lancement de son nouveau dispositif de crédits. Concrètement, chaque rapport valide donne droit à un remboursement sous forme de crédits équivalents aux frais de soumission. Et ce, même si le bug a déjà été signalé par quelqu’un d’autre ou si le protocole l’avait identifié en privé sans le publier.

Cette annonce arrive dans un contexte précis. Depuis le début de l’année, Immunefi a introduit des frais de soumission pour filtrer le volume croissant de rapports, en partie généré par l’utilisation massive d’outils d’intelligence artificielle. Les chercheurs sérieux se retrouvaient parfois pénalisés financièrement pour des découvertes légitimes. Le nouveau système corrige cette asymétrie.

Comment fonctionnent exactement ces crédits

Un crédit correspond à un dollar. Il ne peut être ni retiré ni transféré. Sa durée de validité est limitée à douze mois à compter de son attribution. Les soldes rétroactifs, eux, bénéficient d’une année complète à partir de la date de lancement du programme.

Ces crédits servent exclusivement à payer les frais de soumission de futurs rapports, les frais de médiation en cas de litige, ou encore la vérification de compte. Immunefi a également prévu qu’ils pourront être utilisés dans son futur Studio une fois celui-ci ouvert au public. Les récompenses de bounty et les primes des compétitions d’audit restent bien séparées : un chercheur qui trouve un bug critique touche toujours sa prime habituelle, en plus des crédits correspondant aux frais payés.

Le système vérifie actuellement les éligibilités toutes les deux semaines. Immunefi prévoit d’automatiser complètement le processus, mais pour l’instant un délai maximal de quinze jours peut s’écouler avant que le solde n’apparaisse sur le compte du chercheur.

Qui peut bénéficier des crédits rétroactifs

La rétroactivité constitue l’un des points les plus appréciés de la communauté. Les rapports soumis depuis le 24 mars pour les bug bounties classiques et depuis le 10 avril pour les compétitions d’audit sont pris en compte. Plus de 700 chercheurs ont déjà reçu ou vont recevoir ces crédits dans les prochains jours.

Plusieurs cas de figure donnent droit aux crédits. Le premier est le plus évident : un rapport original validé et récompensé. Le second concerne les doublons. Dès lors que le rapport initial a été jugé valide, tous les chercheurs qui ont indépendamment découvert la même faille récupèrent leurs frais. Le troisième cas, particulièrement intéressant, concerne les problèmes connus en privé.

Certains protocoles enregistrent en interne des vulnérabilités qu’ils ne peuvent pas encore rendre publiques, le temps de préparer un correctif. Le chercheur qui tombe sur la même faille n’a aucun moyen de le savoir. Immunefi considère désormais ces situations comme éligibles aux crédits, à condition que le protocole ait enregistré le problème après la date de soumission du chercheur, ou qu’aucune source publique ni date d’enregistrement ne soit fournie.

Vous avez trouvé un bug valide, et quelqu’un d’autre l’a signalé en premier. À partir d’aujourd’hui, vous recevez des crédits équivalents à ce frais, prêts pour votre prochaine soumission.

Annonce officielle Immunefi

En revanche, les vulnérabilités déjà publiquement divulguées, les rapports invalides, ceux hors périmètre, les violations de politique et les doublons de rapports rejetés restent exclus. Un chercheur ne peut pas non plus obtenir un second crédit en resoumettant sa propre découverte.

Pourquoi Immunefi a mis en place ces frais au départ

Pour comprendre l’importance de ce retour de crédits, il faut remonter à la décision initiale d’introduire des frais de soumission. Entre janvier et septembre 2026, le nombre de découvertes uniques valides a doublé. Mais le volume total de rapports a augmenté encore plus vite. Immunefi attribue cette explosion en grande partie à l’usage d’outils d’intelligence artificielle, qui accélèrent à la fois la détection de failles et la rédaction des rapports.

Chaque soumission, même invalide ou en doublon, nécessite un travail de triage et de classification. Les frais servent précisément à financer cette charge opérationnelle. Lors d’une compétition récente, une seule vulnérabilité de haute sévérité a généré 24 rapports en doublon. Multipliez ce type de situation par des dizaines de programmes, et l’on comprend rapidement pourquoi la plateforme a dû trouver un mécanisme de régulation.

Le problème, c’est que ce mécanisme touchait aussi les chercheurs légitimes. Payer pour signaler une faille réelle qui s’avère déjà connue en privé ou déjà rapportée par un concurrent créait un sentiment d’injustice. Plusieurs voix de la communauté avaient d’ailleurs alerté sur ce point ces derniers mois.

Les réactions de la communauté des chercheurs

Dès l’annonce, les retours ont été majoritairement positifs. Plusieurs profils reconnus ont salué la rétroactivité et la prise en compte des cas de problèmes connus en privé. Skydev a noté que la mesure résolvait enfin la moitié du problème lié aux frais dans les situations de doublons et de known issues. Vuk.Digital a particulièrement apprécié le caractère rétroactif, qui a permis d’effacer des soldes négatifs pour de nombreux participants aux compétitions d’audit.

Keizo, de son côté, a souligné que la communauté avait remonté le sujet et qu’Immunefi avait su écouter. Ces réactions montrent un point important : les chasseurs de bugs ne contestent pas le principe des frais de soumission lorsqu’ils servent à filtrer le bruit. Ce qu’ils demandaient, c’était simplement que le coût ne soit pas supporté par ceux qui apportent une valeur réelle, même en cas de coincidences de découverte.

Les conditions précises d’éligibilité pour les problèmes connus

Le traitement des private known issues mérite qu’on s’y attarde. Immunefi a défini des règles claires. Pour qu’un rapport fermé comme « known issue » ouvre droit aux crédits, le protocole doit soit fournir une date d’enregistrement interne, soit une source publique. En l’absence de ces éléments, le problème est considéré comme privé et donc éligible.

Si la date d’enregistrement interne est postérieure à la soumission du chercheur, le crédit est également accordé. Cette approche évite que les protocoles ne puissent bloquer indéfiniment les chercheurs en gardant des failles secrètes sans justification temporelle. Elle protège aussi les chasseurs de bonne foi qui ne disposent d’aucun moyen de vérifier l’existence d’un rapport interne.

La médiation réussie donne également droit aux crédits, à la fois pour le frais de soumission initial et pour le frais de médiation lui-même. C’est un détail qui peut s’avérer significatif dans les cas litigieux où le chercheur doit défendre son rapport.

L’impact de l’intelligence artificielle sur le volume des rapports

L’un des points les plus révélateurs de l’annonce concerne la croissance différenciée entre les découvertes uniques et le volume total de soumissions. Les outils d’IA permettent aujourd’hui de scanner plus rapidement de larges bases de code et de générer des rapports structurés. Résultat : le nombre de rapports valides uniques a doublé en neuf mois, mais le volume global a progressé encore plus rapidement.

Cette situation crée une pression nouvelle sur les équipes de triage. Chaque rapport, même s’il s’avère être un doublon, doit être examiné. Les frais de soumission ont été conçus comme un filtre économique. Le système de crédits vient maintenant rééquilibrer l’équation en favorisant ceux qui apportent réellement de la valeur.

On peut y voir une adaptation pragmatique. Plutôt que de supprimer purement et simplement les frais, Immunefi a choisi de les conserver comme outil de régulation tout en protégeant les chercheurs productifs. C’est une manière de dire que le signal (les vrais bugs) doit être valorisé, tandis que le bruit (les rapports inutiles) reste à la charge de ceux qui le génèrent.

Plether lance sa compétition d’audit à 80 000 dollars

Parallèlement à l’annonce des crédits, Immunefi a ouvert une nouvelle compétition d’audit pour le projet Plether. Dotée d’un pool de récompenses de 80 000 USDC, cette compétition s’adresse aux chercheurs intéressés par les protocoles de positions perpétuelles.

Plether propose des positions perpétuelles sur un indice dollar composé de six grandes devises. Le système est actuellement testé sur le réseau de test Arbitrum Sepolia, sans déploiement en mainnet pour le moment. Les 80 000 dollars sont répartis en trois pools : 56 000 pour le pool principal, 16 000 pour le pool All Stars, et 8 000 pour le podium.

Les conditions de participation excluent les personnes figurant sur les listes de sanctions de l’OFAC, les juridictions restreintes et les insiders du projet. Chaque rapport de vulnérabilité doit être accompagné d’une preuve de concept exécutable. Ces exigences classiques visent à garantir la qualité des soumissions et la conformité réglementaire.

Les implications plus larges pour l’écosystème de la sécurité blockchain

Au-delà du simple remboursement de frais, cette décision d’Immunefi s’inscrit dans une réflexion plus large sur la durabilité des programmes de bug bounty. Les plateformes doivent aujourd’hui composer avec deux réalités contradictoires : d’un côté, la nécessité de filtrer un volume croissant de rapports générés en partie par l’IA ; de l’autre, le besoin de garder les meilleurs chercheurs motivés et financièrement à l’aise.

En rendant les frais aux découvertes valides, même en cas de doublon ou de known issue privé, Immunefi envoie un signal clair. La plateforme reconnaît que le temps et l’expertise investis par un chercheur ont une valeur, indépendamment du fait que quelqu’un d’autre ait eu la même idée quelques heures ou quelques jours plus tôt.

Cette approche pourrait influencer d’autres acteurs du secteur. Les programmes de bug bounty classiques, qu’ils soient gérés en interne ou via d’autres plateformes, font face aux mêmes problématiques de volume et de doublons. Un mécanisme de crédits ou de remboursement conditionnel pourrait devenir une norme pour maintenir l’attractivité de ces programmes auprès des talents les plus pointus.

Comment les chercheurs peuvent maximiser l’usage de leurs crédits

Avec une durée de vie limitée à douze mois, les crédits demandent une certaine organisation. Les chercheurs qui en reçoivent un volume important auront intérêt à planifier leurs prochaines soumissions pour ne pas les laisser expirer. Immunefi consomme les crédits les plus anciens en premier, ce qui simplifie un peu la gestion.

Il est également possible d’acheter des crédits en USDC. Cette option peut s’avérer utile pour ceux qui veulent participer à un grand nombre de compétitions ou qui anticipent des frais de médiation. Les crédits achetés suivent les mêmes règles d’expiration que les crédits gagnés.

Pour la vérification de compte, les frais peuvent être couverts par des crédits une fois que le chercheur a soumis un rapport valide après vérification et atteint au moins 25 % de précision, que ce soit sur les bug bounties ou les compétitions d’audit. La vérification via Human Passport reste gratuite.

Les limites et points de vigilance du système

Malgré les avancées, quelques zones d’ombre subsistent. Le délai de deux semaines pour l’apparition des crédits peut créer une friction temporaire, surtout pour les chercheurs qui multiplient les soumissions. L’automatisation promise devrait résoudre ce point, mais elle n’est pas encore en place.

L’impossibilité de retirer ou de transférer les crédits limite leur flexibilité. Un chercheur qui décide de réduire son activité sur la plateforme risque de voir une partie de ses crédits expirer. C’est un choix assumé par Immunefi, qui souhaite que ces crédits restent un outil interne de participation plutôt qu’une forme de rémunération différée.

Enfin, la distinction entre problèmes connus privés et publics repose en partie sur la transparence des protocoles. Si un projet ne fournit ni date d’enregistrement ni source publique, le chercheur bénéficie des crédits. Cela crée une incitation pour les protocoles à documenter correctement leurs known issues, ce qui, à terme, peut améliorer la clarté de l’ensemble de l’écosystème.

Une évolution logique dans un marché en mutation

Le marché de la sécurité blockchain a profondément évolué ces dernières années. Les montants des primes ont augmenté, les programmes se sont multipliés, et les outils d’analyse se sont sophistiqués. L’arrivée massive de l’IA dans le workflow des chercheurs constitue une nouvelle étape. Elle augmente la productivité, mais elle augmente aussi le bruit.

Dans ce contexte, les plateformes comme Immunefi doivent inventer des mécanismes qui préservent à la fois la qualité des rapports et la motivation des meilleurs talents. Le système de crédits s’inscrit dans cette logique d’équilibre. Il ne supprime pas le filtre économique, mais il le rend plus juste en ciblant le coût sur les soumissions qui n’apportent pas de valeur nouvelle.

Les plus de 700 chercheurs déjà concernés par les crédits rétroactifs constituent un premier test grandeur nature. Si le système fonctionne comme annoncé, il pourrait devenir un argument de fidélisation important pour attirer et retenir les chasseurs de bugs les plus expérimentés.

Ce que cela change concrètement pour un chercheur indépendant

Prenons un exemple concret. Un chercheur indépendant passe trois jours sur un protocole, identifie une faille de sévérité moyenne, paie les frais de soumission, et découvre ensuite que le bug était déjà connu en interne. Avant le 2 novembre, il perdait purement et simplement ses frais. Aujourd’hui, il récupère l’équivalent en crédits, qu’il pourra réutiliser sur sa prochaine cible.

Ce changement de règle réduit le risque financier associé à chaque soumission. Il n’élimine pas complètement le risque — un rapport réellement invalide reste à la charge du chercheur — mais il protège contre les situations où le travail fourni était objectivement utile, même s’il n’a pas abouti à une prime.

Pour les chercheurs qui participent régulièrement aux compétitions d’audit, l’impact peut être encore plus significatif. Les soldes négatifs liés aux frais de participation successifs peuvent désormais être compensés, ce qui améliore la trésorerie personnelle et facilite la poursuite de l’activité.

Perspectives pour les prochains mois

Immunefi a indiqué que l’automatisation des vérifications de crédits était en cours de développement. Une fois en place, elle devrait fluidifier encore davantage le processus. On peut aussi s’attendre à des ajustements des règles au fil des retours de la communauté, comme c’est souvent le cas avec ce type de dispositifs.

La compétition Plether, ouverte le même jour que l’annonce des crédits, offre un terrain d’essai immédiat. Les chercheurs qui ont reçu des crédits rétroactifs pourront les utiliser pour y participer sans frais supplémentaires. C’est une manière concrète de relier les deux annonces et de montrer que le système fonctionne en conditions réelles.

À plus long terme, la question se posera de l’évolution des frais de soumission eux-mêmes. Si le volume de rapports continue de croître grâce à l’IA, les plateformes devront peut-être affiner encore leurs filtres. Le système de crédits offre une base sur laquelle construire des mécanismes plus sophistiqués, qui distinguent plus finement la valeur apportée par chaque contribution.

Un signal positif pour l’ensemble de la filière

En choisissant de rendre les frais aux découvertes valides, même en cas de doublon ou de known issue privé, Immunefi reconnaît publiquement la valeur du travail de recherche indépendant. Ce n’est pas qu’une mesure technique. C’est aussi un message adressé à tous les chercheurs qui passent des nuits à analyser du code : votre effort compte, même quand quelqu’un d’autre a eu la même intuition quelques heures avant vous.

Dans un secteur où la confiance et la motivation des talents techniques sont cruciales pour la sécurité globale des protocoles, ce type de décision peut avoir des effets de bord positifs. Elle encourage la persévérance, réduit le sentiment d’injustice, et renforce l’attractivité des programmes de bug bounty.

Les prochaines semaines diront si le système tient toutes ses promesses en termes de fluidité et de couverture des cas limites. Mais l’intention est claire, et la communauté des chasseurs de bugs semble pour l’instant y trouver une réponse concrète à une frustration ancienne. Plus de 700 chercheurs ont déjà vu ou vont bientôt voir leur solde crédité. Pour beaucoup d’entre eux, c’est plus qu’un simple remboursement : c’est la reconnaissance que leur travail a de la valeur, même quand il n’aboutit pas à une prime.

La sécurité des protocoles blockchain repose en grande partie sur ces hommes et ces femmes qui passent des heures à chercher des failles que personne d’autre n’a encore trouvées. En protégeant mieux leur investissement en temps et en argent, Immunefi contribue indirectement à renforcer l’ensemble de l’écosystème. C’est une évolution discrète en apparence, mais potentiellement structurante pour les années à venir.