RedStone Finance hat seine eigenen Schwachstellen mit einem Preis versehen. Der modulare Oracle-Anbieter hat zwei Bug-Bounty-Programme gestartet, die Sicherheitsforscher dafür bezahlen, Schwachstellen in Smart Contracts und Web-Angeboten aufzudecken, bevor Angreifer sie ausnutzen können.

Das zentrale Programm deckt Funde in Smart Contracts ab und bietet eine Höchstprämie von 250.000 US-Dollar für kritische Schwachstellen. Ein zweites Programm behandelt Web-Probleme, mit Auszahlungen von bis zu 10.000 US-Dollar.

Bug-Bounty-Programme sind in der Softwareindustrie ein etabliertes Instrument und werden auch bei Anbietern von Kryptoinfrastruktur zunehmend üblich. Sie laden unabhängige Forscher ein, die Systeme eines Unternehmens nach ausnutzbaren Schwachstellen zu untersuchen und diese verantwortungsvoll zu melden – gegen eine Vergütung, die in der Regel nach dem Schweregrad des Problems gestaffelt ist.

Beide Programme gingen am 22. Oktober 2026 live, wurden von RedStone jedoch erst am 31. Oktober öffentlich angekündigt – eine Anspielung auf Halloween, bei der das Unternehmen den Start als „treats for bugs“ (Süßes für Schwachstellen) bewarb.

Wie die Bounties aufgebaut sind

Die Prämien im Smart-Contract-Programm staffeln sich nach dem Schweregrad des Fundes:

• Kritisch: bis zu 250.000 US-Dollar
• Hoch: bis zu 50.000 US-Dollar
• Mittel: bis zu 10.000 US-Dollar
• Niedrig: bis zu 1.000 US-Dollar

Die Web-Bounty ist bei 10.000 US-Dollar für kritische Probleme gedeckelt, die mehrere RedStone-Domains betreffen.

RedStone verwaltet die Programme nicht selbst. Stattdessen werden die Bounties auf HackenProof und Cantina gehostet – zwei spezialisierten Web3-Sicherheitsplattformen, die die Einreichung von Schwachstellenmeldungen und deren Prüfung übernehmen und Forschern einen standardisierten Kanal für Meldungen und Auszahlungen bieten. Bis Ende Oktober 2026 waren auf HackenProof bereits mehr als 201 Einsendungen registriert, was auf eine rege Beteiligung der Forschergemeinschaft hindeutet.

Warum Oracle-Sicherheit ein besonderes Gewicht hat

Smart Contracts können nicht außerhalb ihres eigenen Netzwerks den Preis eines Assets überprüfen. Oracles liefern diese externen Daten und ermöglichen es Kreditprotokollen so, zu erkennen, wann ein Kredit liquidiert werden muss und wie hoch die Sicherheit ist. Ein einzelner manipulierter oder veralteter Preis-Feed kann daher die Bewertungen aller abhängigen Protokolle verzerren. Die Manipulation von Preis-Feeds war in der Tat ein wiederkehrender Angriffsvektor bei früheren DeFi-Exploits – weshalb die Integrität der Feeds im Zentrum der Sicherheitsbedenken der Branche steht.

RedStones Größe erhöht die Einsatzhöhe. Das Unternehmen gibt an, DeFi-Werte von mehr als 10 Milliarden US-Dollar abzusichern. Zu seiner Kundenliste gehören Protokolle wie Spark, Compound, Morpho und Lido. RedStone stellt zudem Oracle-Funktionalitäten für Securitize-Produkte im Zusammenhang mit BlackRock und Apollo bereit.

Teil eines umfassenderen Sicherheitskonzepts

Die Bounties sind nicht RedStones einzige Verteidigungslinie. Das Unternehmen arbeitet bereits mit externen Audit-Firmen zusammen, darunter Quantstamp und PeckShield, und versteht die neuen Programme als eine Ebene einer umfassenderen Strategie, die regelmäßige externe Audits mit einem nach Unternehmensangaben rigorosen Entwicklungszyklus verbindet. Die Kombination periodischer Audits mit dauerhaften Bounty-Programmen ist in der DeFi-Infrastruktur zu einem gängigen Muster geworden.

RedStone wird als schnell wachsender modulierter Oracle-Anbieter mit Multichain-Infrastruktur beschrieben; die Bezeichnung „modular“ verweist auf ein bedarfsgesteuertes Liefermodell, bei dem Protokolle Preisdaten nur bei Bedarf abrufen, statt jede Aktualisierung on-chain zu übertragen.

Was das für DeFi-Protokolle und Institutionen bedeutet

Die Initiative könnte das Vertrauen in die operationale Integrität von RedStone stärken. Angesichts der Rolle von RedStone bei der Unterstützung von Securitize-Produkten im Zusammenhang mit BlackRock und Apollo könnte die sichtbare Investition in Sicherheit bestehende Beziehungen festigen und potenziell neue institutionelle Kunden anziehen.

Die mehr als 201 frühen Einsendungen auf HackenProof deuten auf ein starkes Interesse der Forschergemeinschaft hin. Der eigentliche Test wird jedoch sein, wie RedStone die Meldungen bearbeitet, wie schnell bestätigte Funde behoben werden und ob überhaupt Auszahlungen in der kritischen Stufe vorgenommen werden.

Quelle: CryptoBriefing. Dieser Artikel basiert auf einer Berichterstattung unter Redaktion von Estefano Gomez.