RedStone Finance ha messo un prezzo sui propri punti deboli. Il fornitore di oracle modulari ha lanciato due programmi di bug bounty che pagano i ricercatori di sicurezza per individuare vulnerabilità negli smart contract e nelle applicazioni web prima che possano essere sfruttate dagli attaccanti.

Il programma principale copre le vulnerabilità negli smart contract e offre un premio massimo di 250.000 dollari per le criticità più gravi. Un secondo programma riguarda le problematiche web, con premi fino a 10.000 dollari.

I programmi di bug bounty sono una pratica consolidata nel settore software e sono diventati sempre più comuni tra le aziende di infrastruttura crittografica. Invitano ricercatori indipendenti a esaminare i sistemi di un'azienda alla ricerca di difetti sfruttabili e a segnalarli in modo responsabile in cambio di un compenso, con pagamenti generalmente proporzionati alla gravità del problema.

Entrambi i programmi sono attivi dal 22 ottobre 2026, ma RedStone li ha annunciati pubblicamente il 31 ottobre — un riferimento ad Halloween, con l'azienda che ha definito il lancio "dolcetti per i bug".

Come sono strutturate le bounty

I premi del programma per gli smart contract scalano in base alla gravità della vulnerabilità:

• Critica: fino a 250.000 dollari
• Alta: fino a 50.000 dollari
• Media: fino a 10.000 dollari
• Bassa: fino a 1.000 dollari

La bounty web arriva a 10.000 dollari per le vulnerabilità critiche che interessano diversi domini di RedStone.

RedStone non gestisce i programmi internamente. Le bounty sono invece ospitate su HackenProof e Cantina, due piattaforme specializzate in sicurezza web3 che si occupano della presentazione e della triage delle vulnerabilità, offrendo ai ricercatori un canale standardizzato per inviare le segnalazioni e ricevere i premi. A fine ottobre 2026, oltre 201 segnalazioni erano già state registrate su HackenProof, a testimonianza di un forte coinvolgimento dei ricercatori.

Perché la sicurezza degli oracle ha un peso particolare

Gli smart contract non possono guardare al di fuori della propria rete per verificare il prezzo di un asset. Gli oracle forniscono questi dati esterni, permettendo ai protocolli di lending di sapere quando liquidare un prestito e quanto vale il collaterale. Un singolo feed di prezzi manipolato o non aggiornato può quindi distorcere le valutazioni di ogni protocollo che ne dipende. La manipolazione dei feed di prezzi è stata, infatti, un vettore d'attacco ricorrente nei precedenti exploit DeFi, ed è per questo che l'integrità dei feed è al centro delle preoccupazioni di sicurezza del settore.

La scala di RedStone alza l'appezzo. L'azienda dichiara di proteggere oltre 10 miliardi di dollari di valore DeFi. La sua lista di clienti include protocolli come Spark, Compound, Morpho e Lido. RedStone fornisce inoltre funzionalità oracle per i prodotti Securitize associati a BlackRock e Apollo.

Parte di un piano di sicurezza più ampio

Le bounty non sono l'unica linea di difesa di RedStone. L'azienda collabora già con società di audit esterne, tra cui Quantstamp e PeckShield, e presenta i nuovi programmi come un livello di una strategia più ampia che combina audit esterni regolari con quello che descrive come un rigoroso ciclo di sviluppo. L'abbinamento di audit periodici a programmi di bounty permanenti è diventato uno schema operativo comune nell'infrastruttura DeFi.

RedStone viene descritta come un fornitore di oracle modulari in rapida crescita che opera su infrastrutture multichain, dove l'etichetta "modulare" riflette un modello di distribuzione on-demand in cui i protocolli prelevano i dati sui prezzi solo quando necessario, invece di ricevere ogni aggiornamento on-chain.

Cosa significa per i protocolli DeFi e le istituzioni

L'iniziativa potrebbe rafforzare la fiducia nell'integrità operativa di RedStone. Dato il ruolo di RedStone nel supportare i prodotti Securitize legati a BlackRock e Apollo, un investimento visibile nella sicurezza potrebbe contribuire a mantenere le relazioni esistenti e potenzialmente attrarre nuovi clienti istituzionali.

Le oltre 201 segnalazioni iniziali su HackenProof suggeriscono un forte interesse dei ricercatori. La vera prova, tuttavia, sarà come RedStone gestirà le segnalazioni, quanto rapidamente verranno corrette le vulnerabilità valide e se i premi per il livello critico verranno effettivamente erogati.

Fonte: CryptoBriefing. Questo articolo è basato su una redazione a cura di Estefano Gomez.