RedStone Finance le ha puesto un precio a sus propios puntos débiles. El proveedor de oráculos modulares ha lanzado dos programas de bug bounty que pagan a investigadores de seguridad por descubrir vulnerabilidades de contratos inteligentes y web antes de que los atacantes puedan explotarlas.

El programa principal cubre hallazgos en contratos inteligentes y ofrece una recompensa máxima de $250,000 por vulnerabilidades críticas. Un segundo programa aborda problemas orientados a la web, con pagos de hasta $10,000.

Los programas de bug bounty son una práctica consolidada en la industria del software y se han vuelto cada vez más comunes entre las empresas de infraestructura de criptomonedas. Invitan a investigadores independientes a examinar los sistemas de una empresa en busca de fallas explotables y reportarlas de manera responsable a cambio de una compensación, con pagos que generalmente se ajustan a la gravedad del problema.

Ambos programas entraron en vigor el 22 de octubre de 2026, aunque RedStone los anunció públicamente el 31 de octubre, en un guiño a Halloween, presentando el lanzamiento como "treats for bugs" (dulces por bugs).

Cómo están estructurados los bounties

Las recompensas del programa de contratos inteligentes se escalan según la gravedad del hallazgo:

• Crítica: hasta $250,000
• Alta: hasta $50,000
• Media: hasta $10,000
• Baja: hasta $1,000

El bounty web llega a un máximo de $10,000 para problemas críticos que afecten varios dominios de RedStone.

RedStone no administra los programas internamente. En cambio, los bounties están alojados en HackenProof y Cantina, dos plataformas especializadas en seguridad web3 que gestionan el envío y la clasificación de vulnerabilidades, ofreciendo a los investigadores un canal estandarizado para presentar reportes y recibir pagos. A finales de octubre de 2026, ya se habían registrado más de 201 envíos en HackenProof, lo que indica una participación activa de los investigadores.

Por qué la seguridad de los oráculos tiene un peso adicional

Los contratos inteligentes no pueden mirar fuera de su propia red para verificar el precio de un activo. Los oráculos suministran esos datos externos, lo que permite a los protocolos de préstamos saber cuándo liquidar un préstamo y cuánto vale el colateral. Un solo feed de precios manipulado o desactualizado puede, por lo tanto, distorsionar las valoraciones de todos los protocolos que dependen de él. De hecho, la manipulación de feeds de precios ha sido un vector de ataque recurrente en exploits pasados de DeFi, razón por la cual la integridad de los feeds está en el centro de las preocupaciones de seguridad del sector.

La escala de RedStone eleva el riesgo. La empresa dice que protege más de $10,000 millones en valor DeFi. Su lista de clientes incluye protocolos como Spark, Compound, Morpho y Lido. RedStone también proporciona funcionalidad de oráculo para productos de Securitize asociados con BlackRock y Apollo.

Parte de un manual de seguridad más amplio

Los bounties no son la única línea de defensa de RedStone. La empresa ya trabaja con firmas de auditoría externas, incluyendo Quantstamp y PeckShield, y presenta los nuevos programas como una capa de una estrategia más amplia que combina auditorías externas regulares con lo que describe como un riguroso ciclo de vida de desarrollo. Combinar auditorías periódicas con programas de bounty permanentes se ha convertido en un patrón operativo común en la infraestructura DeFi.

RedStone es descrito como un proveedor de oráculos modulares de rápido crecimiento que opera infraestructura multichain, y la etiqueta de modular refleja un modelo de entrega bajo demanda en el que los protocolos extraen los datos de precios solo cuando los necesitan, en lugar de que cada actualización se publique en la cadena.

Qué significa para los protocolos DeFi y las instituciones

La iniciativa puede reforzar la confianza en la integridad operativa de RedStone. Dado el rol de RedStone en el soporte de productos de Securitize vinculados a BlackRock y Apollo, una inversión visible en seguridad podría ayudar a mantener las relaciones existentes y potencialmente atraer nuevos clientes institucionales.

Los más de 201 envíos tempranos en HackenProof sugieren un fuerte interés de los investigadores. La verdadera prueba, sin embargo, será cómo gestiona RedStone los reportes, qué tan rápido se corrigen los hallazgos válidos y si algún pago de nivel crítico llega a materializarse.

Fuente: CryptoBriefing. Este artículo se basa en un reportaje editado por Estefano Gomez.