定義
バグバウンティ（Bug Bounty）は、プロジェクトや組織が、脆弱性を発見して報告した外部のセキュリティ研究者に対して報酬を提供する、正式なインセンティブプログラムです。暗号資産およびブロックチェーン（blockchain）の文脈では、バグバウンティは、悪用された場合に資金の損失やサービスの停止につながり得る、スマートコントラクト、プロトコルロジック、インフラなどの重要コンポーネントを対象とすることが一般的です。報酬額は、発見された問題の重大度と影響度に応じてスケールされるのが通常であり、リスクの高い欠陥に焦点を当てるよう促します。バグバウンティは、セキュリティ監査などの他のセキュリティ対策を補完し、進化し続けるコードベースに対して、継続的に外部からのレビューを受け入れる仕組みとして機能します。
セキュリティの概念として、バグバウンティは、プロジェクトと、責任ある開示ルールに従うことに同意したホワイトハット研究者との間の、体系化された関係を定義します。プログラムでは通常、対象範囲となるシステム、テストしてよい攻撃面、そして有効なエクスプロイトとして認められる条件が明示されます。また、テストが悪意ある行為に踏み込まないよう、法的・倫理的な境界線も定められます。ブロックチェーン（blockchain）エコシステムでは、バグバウンティは一般に公開文書として整備されており、ネイティブトークンやステーブルコインで資金提供される場合もあります。
文脈と使われ方
バグバウンティプログラムは、暗号資産プロトコル、取引所、ウォレット（wallet）プロバイダーによって広く採用されており、セキュリティ障害に対する継続的な防御レイヤーとして機能しています。これは、徹底したセキュリティ監査を実施した後であっても、複雑で変更不可能なスマートコントラクトシステムには、未発見の脆弱性が残り得ることを前提としたものです。報酬を提示することで、プロジェクトは優秀な研究者の努力を、公然たる悪用ではなく、責任ある報告へと誘導することを目指します。これにより、発見されたエクスプロイトが窃盗やサービス妨害に利用される可能性を低減できます。
より広いセキュリティの文脈では、バグバウンティはコードの堅牢性を高めるための、能動的かつ市場原理に基づくメカニズムとして理解されています。これは、内部テスト、形式手法による検証、第三者レビューなどと並ぶ、多層防御戦略の一部です。分散型金融（DeFi）やその他の高価値なブロックチェーン（blockchain）アプリケーションにおいて、よく設計されたバグバウンティは、そのプロジェクトがセキュリティ体制を重視し、セキュリティコミュニティと建設的に関わる意思があることを示すシグナルとなります。この概念は、多額のオンチェーン価値を扱うプロトコルにとって、事実上の標準的な期待事項となっています。