Como tudo começou
Mais do que apenas uma competição, o Pwn2Own é um campo de provas para a inovação e um poderoso lembrete das altas apostas em segurança. Ele expõe vulnerabilidades em dispositivos e softwares comumente usados, servindo como um ponto de verificação crítico para os avanços em cibersegurança desde o evento do ano anterior.
Desde sua criação na conferência de segurança CanSecWest de 2007 em Vancouver, Canadá, o Pwn2Own cresceu significativamente e agora apresenta 3 eventos anualmente.
A evolução do Pwn2Own: colhendo as recompensas
O Pwn2Own cresceu de um pequeno concurso com prêmios de $10,000 para a competição de hackers mais prestigiada do mundo, concedendo mais de $1 milhões por evento. Suas regras em evolução refletem o cenário de ameaças em mudança, expandindo para cobrir navegadores, sistemas operacionais, servidores e, desde 2019, automóveis. Essa proeminência permitiu à Iniciativa Zero Day™ (ZDI) da Trend engajar-se com os principais pesquisadores do mundo.
O processo de divulgação do Pwn2Own é um dos melhores fóruns para que fornecedores e pesquisadores colaborem diretamente, discutindo vulnerabilidades em tempo real. Essa proeminência nos permitiu engajar com os principais pesquisadores do mundo.
Pwn2Own 2025
Outubro de 2025
Pwn2Own Irlanda
O Pwn2Own retorna a Cork neste outubro. Um destaque é a recompensa de $1 milhões da Meta por um exploit de zero clique no WhatsApp, destacando como as plataformas de mensagens – abrangendo uso pessoal e empresarial – tornaram-se alvos principais para adversários.
Dispositivos habilitados por IA, incluindo câmeras, smartphones e aparelhos NAS, fazem parte da superfície de ataque empresarial à medida que a tecnologia inteligente converge entre escritórios domésticos e IoT. Cada exploit destaca vulnerabilidades do sistema e como adversários podem lançar e pivotar seus ataques.
maio de 2025
Pwn2Own Berlim 2025
Realizado na OffensiveCon em Berlim, o evento de 2025 premiou um total de $1,078,750 por pesquisas inovadoras em segurança. Parabéns ao STAR Labs SG, que ganhou $320,000 e 35 pontos Master of Pwn para conquistar o primeiro lugar. Durante a competição, 28 vulnerabilidades 0-day únicas foram compradas e divulgadas, incluindo sete na categoria de IA.
Janeiro de 2025
Uma retrospectiva da Pwn2Own Automotive 2025
Você ouviu falar sobre o desafio definitivo para a cibersegurança automotiva no Pwn2Own Automotive 2025? Ele reuniu os melhores talentos para mostrar suas habilidades aos líderes da indústria enquanto impulsionava a inovação para tornar os veículos mais seguros para todos. O evento ofereceu uma plataforma para contribuições inovadoras e a chance de ganhar prêmios em dinheiro, troféus e reconhecimento global. Nós premiamos $886,250 por 49 0-days únicos, incluindo pesquisas em carregadores de veículos elétricos que nunca haviam sido demonstradas publicamente antes. Sina Kheirkhah ganhou o título de Master of Pwn com um total de $222,250.
O panorama completo: Pwn2Own ao longo dos anos desde seu lançamento em 2007
Pwn2Own Automotive 2025
Realizado de 22 a 24 de janeiro em Tóquio, o evento reuniu alguns dos melhores pesquisadores do mundo para testar os mais recentes componentes automotivos. Parceiros principais incluíram os gigantes da inovação VicOne e Tesla.
Pwn2Own Irlanda 2024
Realizado nos escritórios da Trend Micro em Cork, Irlanda, o evento de 2024 introduziu novas categorias, incluindo a categoria WhatsApp patrocinada pela Meta, que oferecia ganhos potenciais de até $300,000. Além disso, dispositivos habilitados com IA foram apresentados pela primeira vez, abrangendo smartphones, sistemas NAS e câmeras com capacidades de IA. Ao longo de 4 dias, premiamos mais de $1 milhões por mais de 70 vulnerabilidades de dia zero e coroamos a Viettel Cyber Security como Mestre do Pwn.
Pwn2Own Vancouver 2024
O Pwn2Own retornou à conferência CanSecWest em Vancouver, Canadá, para destacar os últimos exploits em servidores e aplicativos empresariais. No total, premiamos $1,132,500 por 29 0-days únicos. Manfred Paul foi coroado como o Mestre do Pwn. Ele ganhou $202,500 e 25 pontos no total ao explorar todos os quatro navegadores durante a competição (Chrome, Edge, Safari e Firefox). Este evento também introduziu o Docker como alvo, e a equipe do STAR Labs SG combinou dois bugs para executar sua fuga de contêiner. Valentina Palmiotti usou um bug de Atualização Imprópria de Contagem de Referência para escalar privilégios no Windows 11. Isso foi posteriormente premiado como a “Melhor Escalada de Privilégios” no Pwnie Awards de 2024. Outros destaques incluíram exploits no Oracle VirtualBox e escaladas de privilégios em todos os principais sistemas operacionais.
Pwn2Own Automotivo 2024
O evento inaugural Pwn2Own Automotive foi transmitido ao vivo de Tóquio na conferência Automotive World. A resposta superou nossas expectativas, com mais de 45 inscrições em todas as categorias. Nós distribuímos $1,323,750 durante o evento e descobrimos 49 zero-days únicos.
Pwn2Own Toronto 2023
A edição para consumidores do Pwn2Own retornou aos escritórios da Trend em Toronto, apresentando alvos como telefones móveis, sistemas de vigilância e configurações de pequenos escritórios. O evento atraiu atenção significativa, com fornecedores fazendo esforços de segurança de última hora e pesquisadores demonstrando exploits de alto impacto. A Synacktiv apresentou um exploit de zero clique na câmera Wyze, enquanto um ataque bem-sucedido ao Xiaomi 13 Pro levou a Xiaomi a desativar partes de sua rede global. No total, $1,038,500 foi concedido por 58 0-days únicos, com a equipe Viettel ganhando o título de Mestre do Pwn com $180,000 e 30 pontos.
Pwn2Own Vancouver 2023
No CanSecWest, o Pwn2Own divulgou 27 zero-days e premiou $1,035,000 e um Tesla Model 3. Os exploits da Tesla visaram o Gateway e múltiplos subsistemas, obtendo acesso root. SharePoint e macOS no M2 também foram comprometidos, com vulnerabilidades amplas do Windows descobertas. A Synacktiv ganhou o título de Master of Pwn com $530,000, 53 pontos e o Tesla Model 3.
Pwn2Own Miami 2023
O concurso ICS/SCADA retornou à conferência S4 em Miami Beach, Flórida, revelando 27 zero-days em 10 produtos de 16 inscrições. Pela primeira vez, a IA desempenhou um papel, com a Claroty usando o ChatGPT em uma cadeia de seis explorações visando o Softing Secure Integration Server. Os prêmios totalizaram $153,500, e a Equipe 82 da Claroty conquistou o título de Master of Pwn com $98,500.
Pwn2Own Toronto 2022
O primeiro Pwn2Own em Toronto, realizado nos escritórios da Trend Micro, tornou-se o maior evento da história, com 66 inscrições de 36 equipes visando 13 produtos. Os prêmios totalizaram $989,750 para 63 zero-days. Os destaques incluíram a categoria SOHO Smashup, explorações do Samsung Galaxy S22 e uma impressora Lexmark transformada em jukebox. A DEVCORE ganhou o título de Master of Pwn com $142,500.
Pwn2Own Vancouver 2022
O 15º aniversário do Pwn2Own em Vancouver premiou $1,155,000 por 25 zero-days. O primeiro dia estabeleceu um recorde de $800,000, incluindo explorações do Microsoft Teams. O segundo dia apresentou hacks no sistema de infotainment da Tesla, enquanto o terceiro dia viu escalonamentos de privilégio no Windows 11. O STAR Labs conquistou o título de Master of Pwn com $270,000 e 27 pontos.
Pwn2Own Miami 2022
A segunda edição do Pwn2Own Miami, Florida, ocorreu de 19 a 21 de abril de 2022, no Fillmore em South Beach, Miami. Durante o concurso de três dias, os participantes ganharam $400,000 por 26 0-days únicos. A equipe de Daan Keuper e Thijs Alkemade da Computest Sector 7 foi premiada como Master of Pwn, ganhando $90,000. Daan Keuper e Thijs Alkemade destacaram-se no concurso ao contornar a verificação de aplicativo confiável na OPC Foundation OPC UA .NET Standard.
Pwn2Own Austin 2021
Com as restrições de viagem contínuas, a Versão do consumidor do Pwn2Own ocorreu na sede da Trend ZDI em Austin, Texas. Este evento atraiu muita atenção da comunidade de pesquisa e acabou sendo o maior evento na história do Pwn2Own, incluindo 58 inscrições separadas de mais de 22 equipes diferentes, visando 13 produtos diferentes. No final, premiamos $1,081,250 por 61 vulnerabilidades únicas de 0-day – o segundo maior pagamento na história do Pwn2Own. Um momento marcante apresentou um exploit transformando uma impressora HP em uma jukebox, tocando Thunderstruck do AC/DC através de seu alto-falante interno.
Pwn2Own Vancouver 2021 (De Austin com amor)
De 6 a 8 de abril de 2021, o concurso Pwn2Own foi realizado em Austin, Texas, e virtualmente. Este ano introduziu a categoria de Comunicações Empresariais, apresentando Microsoft Teams e Zoom Messenger. No primeiro dia, Apple Safari, Microsoft Exchange, Microsoft Teams, Windows 10 e Ubuntu foram todos comprometidos. Zoom Messenger caiu para um exploit de zero clique no segundo dia, com Parallels Desktop, Google Chrome e Microsoft Edge também explorados com sucesso. O concurso premiou mais de $1,200,000 por 23 zero-days únicos. O título de Master of Pwn foi compartilhado em um empate triplo entre Team DEVCORE, OV, e Daan Keuper e Thijs Alkemade.
Pwn2Own Tóquio (Ao vivo de Toronto) 2020
Com o contínuo lockdown devido à COVID-19, a conferência PacSec foi novamente realizada virtualmente. O evento foi transmitido ao vivo no Twitch e no YouTube, enquanto entrevistas e vídeos antigos preenchiam o intervalo entre as tentativas. Este concurso também incluiu servidores de rede de área de armazenamento (SAN) como alvo. O concurso premiou $136,500 por 23 bugs únicos. Pedro Ribeiro e Radek Domanski conquistaram o título de Master of Pwn com duas explorações SAN bem-sucedidas.
Pwn2Own Vancouver 2020
Devido à COVID-19, o evento foi realizado virtualmente, permitindo que os pesquisadores enviassem suas explorações antecipadamente. Os pesquisadores da Trend ZDI executaram as explorações de casa, gravando tanto a tela quanto uma chamada no Zoom com os participantes. Ao longo de 2 dias, 6 demonstrações bem-sucedidas foram premiadas com $270,000, com 13 bugs únicos adquiridos no Adobe Reader, Apple Safari e macOS, Microsoft Windows e Oracle VirtualBox. Como destaque especial, o pesquisador da Trend ZDI, Lucas Leong, apresentou um bug não corrigido no Oracle VirtualBox. Amat Cama e Richard Zhu ganharam o título de Master of Pwn com $90,000 em prêmios.
Pwn2Own Miami 2020
Realizado na conferência S4, o primeiro Pwn2Own em Miami focou em Sistemas de Controle Industrial (ICS). Pesquisadores miraram várias categorias, incluindo Servidores de Controle, Servidores OPC Unified Architecture (OPC UA), Gateways DNP3, Interfaces Homem-Máquina (HMI) e Software de Estação de Trabalho de Engenharia (EWS). 8 grupos de competidores exploraram com sucesso pelo menos um alvo em cada categoria. Mais de $280,000 em dinheiro e prêmios foram concedidos, com mais de duas dúzias de vulnerabilidades de dia zero adquiridas. Steven Seeley e Chris Anastasio ganharam o título de Master of Pwn com $80,000 em prêmios.
Pwn2Own Tóquio 2019
O Facebook foi incluído, trazendo seu sistema de VR Oculus Quest para o concurso. Também expandimos o concurso para incluir mais dispositivos IoT, como alto-falantes inteligentes, televisores e roteadores sem fio. No total, premiamos mais de $315,000 ao longo dos dois dias de concurso, enquanto adquirimos 18 diferentes falhas nos diversos produtos. Com $195,000 e 18,5 pontos, a dupla Fluoroacetate de Richard Zhu e Amat Cama manteve seu título de Master of Pwn – o terceiro consecutivo.
Pwn2Own Vancouver 2019
Em parceria conosco, a Tesla apresentou um Model 3 no concurso, oferecendo 6 pontos focais para pesquisa no escopo. Esta adição juntou-se a categorias tradicionais como navegadores web, software de virtualização, aplicativos empresariais e Windows RDP. Ao longo de três dias, a Trend ZDI concedeu $545,000 por 19 vulnerabilidades únicas. Amat Cama e Richard Zhu conquistaram o título de Master of Pwn, ganhando $375,000 e o Model 3.
Pwn2Own Tokyo 2018
Adicionamos alvos de IoT ao concurso e renomeamos de Mobile Pwn2Own para Pwn2Own Tokyo. Embora alto-falantes inteligentes, câmeras web e relógios inteligentes tenham sido incluídos no concurso, nenhum desses dispositivos foi alvo. O concurso premiou um total de $325,000 enquanto adquiriu 18 relatórios de bugs 0-day. Com 45 pontos e $215,000, Amat Cama e Richard Zhu conquistaram o título de Master of Pwn.
Pwn2Own 2018
A Trend ZDI fez parceria com a Microsoft, recebendo a VMware como patrocinadora para 5 categorias de alvos: virtualização, navegadores web, aplicativos empresariais, servidores e uma categoria especial do Windows Insider Preview Challenge. A participação de equipes patrocinadas por empresas diminuiu, pois as equipes chinesas não foram mais permitidas. O concurso premiou $267,000 por uma dúzia de exploits de 0-day e coroou Richard Zhu (fluorescence) como o Master of Pwn.
Mobile Pwn2Own 2017 (Tóquio, Japão)
Como nosso maior concurso móvel de todos os tempos, compramos um total de 32 bugs únicos durante o concurso, enquanto os participantes ganharam $515,000 em prêmios. O Tencent Keen Security Lab foi coroado Master of Pwn com 44 pontos. Este foi o primeiro concurso em que desistir de uma tentativa resultou em pontos negativos para o Master of Pwn.
Pwn2Own 2017
O décimo aniversário do concurso foi o mais movimentado de todos, pois a Trend ZDI gastou $833,000 adquirindo 51 diferentes falhas de 0-day. O alto número de submissões exigiu duas trilhas no Dia 2 para acomodar todas as entradas. Este concurso também viu duas elevações bem-sucedidas de convidado para host no VMware. A equipe da 360 Security venceu o Master of Pwn, marcando um total de 63 pontos. Este ano, as equipes submeteram falhas antes do concurso em um esforço estratégico para eliminar as vulnerabilidades de seus concorrentes.
Mobile Pwn2Own 2016 (Tóquio, Japão)
O concurso retornou a Tóquio com o iPhone 6s, Google Nexus 6p e o Galaxy S7 como alvos. Todos foram explorados enquanto o concurso premiou um total de $375,000. A equipe Tencent Keen Security Lab foi premiada com o título de Master of Pwn com um total de ganhos de $210,000 e 45 pontos.
Pwn2Own 2016
Este ano viu a introdução do Master of Pwn – o título do vencedor geral do Pwn2Own. Como a ordem do concurso é decidida por sorteio aleatório, concorrentes com um sorteio desfavorável podem apresentar ótimas pesquisas, mas receber menos dinheiro, já que as rodadas subsequentes diminuem em valor. No entanto, os pontos atribuídos para cada entrada bem-sucedida não diminuem. Alguém pode ter um sorteio desfavorável e ainda acumular a maioria dos pontos. A equipe da Tencent Security Team Sniper conquistou o primeiro título de Master of Pen com 38 pontos. No geral, o concurso premiou $460,000 no total por 21 vulnerabilidades.
Mobile Pwn2Own 2015
A equipe tirou um ano de folga para determinar a melhor forma de processar os envios, em conformidade com o Acordo de Wassanaar.
Pwn2Own 2015
O nível de dificuldade aumentou significativamente no concurso de 2015, pois o prêmio "unicórnio" de 2014 tornou-se o padrão para todos os alvos do Windows. Exploits bem-sucedidos precisavam evitar o Enhanced Mitigation Experience Toolkit (EMET) da Microsoft em todos os alvos do Windows, alcançar execução de código em nível de SISTEMA (com um bônus de $25,000) e direcionar navegadores de 64 bits com o Modo de Proteção Avançada (EPM) ativado.
Mobile Pwn2Own 2014 (Tóquio, Japão)
Nosso maior evento mobile até agora, onde sete celulares foram alvos de sete equipes diferentes. Todos foram explorados com sucesso.
Pwn2Own 2014
2 dias de pagamentos recordes levaram o Pwn2Own perto de sua primeira competição de um milhão de dólares, premiando $850,000 para 8 participantes, com $385,000 em prêmios não reivindicados. O concurso Pwn4Fun entre Google e Trend ZDI arrecadou $82,500 para caridade, enquanto o grande prêmio Exploit Unicorn de $150,000—criado para desafiar os principais pesquisadores—não foi reivindicado.
Mobile Pwn2Own 2013 (Tóquio, Japão)
O concurso foi realizado na Ásia pela primeira vez, e o escopo foi expandido para incluir ataques baseados em Bluetooth, WiFi e USB. Os prêmios variaram de $50,000 a $100,000, totalizando $300,000. Concorrentes do Japão e da China juntaram-se aos participantes dos EUA pela primeira vez, com ganhos totais chegando a $117,500.
Pwn2Own 2013
Expandiu o foco além das vulnerabilidades no navegador web para incluir plug-ins. O prêmio total foi de $560,000, com prêmios individuais variando de $20,000 a $100,000. Os participantes ganharam $320,000.
Mobile Pwn2Own 2012 (Amsterdã, Holanda)
Realizado na Europa pela primeira vez, o concurso introduziu novas regras focadas apenas em dispositivos móveis, oferecendo prêmios que variam de $30.000 a $100.000 (para um ataque de banda base celular). Dois grupos de pesquisadores competiram com sucesso, ganhando um total de $60.000.
Pwn2Own 2012
A competição adotou um formato capture-a-bandeira com um sistema de pontos para exploits direcionados às versões mais recentes do IE, Firefox, Safari e Chrome. Prêmios de $60.000, $30.000 e $15.000 foram concedidos para o primeiro, segundo e terceiro lugar, respectivamente.
Pwn2Own 2011
O Google entrou como co-patrocinador apenas para o Chrome, com um prêmio de $125,000. Categorias não relacionadas ao Chrome ofereceram $15,000 cada. Os participantes reivindicaram $60,000 no total, mas ninguém tentou explorar o Chrome.
Pwn2Own 2010
Os concorrentes ganharam um total de $45.000, com $10.000 concedidos para cada alvo da web e $15.000 para cada alvo móvel.
Pwn2Own 2008-09
O escopo do concurso Pwn2Own foi expandido para incluir uma gama mais ampla de sistemas operacionais e navegadores. A Trend ZDI organizou o concurso e concordou em comprar todas as vulnerabilidades demonstradas com sucesso, oferecendo prêmios que variam de $5.000 a $20.000 por vulnerabilidade. Os participantes ganharam $15.000 em 2008 e $20.000 em 2009.
Pwn2Own 2007
Iniciado pelo fundador da CanSecWest, Dragos Ruiu, o concurso inaugural destacou a insegurança do sistema operacional Mac OS X da Apple. Na época, havia uma crença popular de que o OS X era muito mais seguro do que seus concorrentes. Inicialmente, apenas os laptops eram oferecidos como prêmios. No entanto, no primeiro dia da conferência, a Trend ZDI foi convidada a participar e ofereceu-se para comprar quaisquer vulnerabilidades usadas no concurso por um preço fixo de $10,000 USD.