Bug Bounty
Program bezpieczeństwa i analizy zagrożeń
Pomóż nam chronić miliony transakcji krypto. Zgłaszaj luki bezpieczeństwa i dostarczaj dane analityczne o zagrożeniach — kwalifikujące się zgłoszenia mogą zostać nagrodzone według naszego uznania.
Poziomy istotności luk
Kwalifikujące się zgłoszenia mogą otrzymać nagrodę uznaniową. O kwalifikacji decydują waga luki, rzeczywisty wpływ oraz jakość zgłoszenia. Wszystkie decyzje są ostateczne.
KrytycznaNajwyższy priorytet
RCE, obejście uwierzytelniania, ujawnienie bazy danych, wyciek kluczy prywatnych
WysokaWysoki priorytet
Eskalacja uprawnień, IDOR, trwały XSS, wstrzyknięcie SQL
ŚredniaIndywidualnie
Odbity XSS, CSRF, ujawnienie informacji, obejście limitu żądań
NiskaWyróżnienie
Brakujące nagłówki, clickjacking (ograniczony wpływ), zbyt szczegółowe komunikaty błędów
Zgłoszenia danych analitycznych
Zweryfikowane dane o zagrożeniach pomagają rozszerzyć pokrycie naszej bazy danych. Wszystkie zgłoszenia są rozpatrywane w ciągu 48 godzin.
Adres objęty sankcjami
Zweryfikowany adres z listy sankcyjnej OFAC/UE/ONZ, którego nie ma jeszcze w naszej bazie
Wysoka wartość
Phishing / oszustwo
Aktywna strona phishingowa lub potwierdzony, udokumentowany portfel oszusta
Indywidualnie
Mikser / tumbler
Nowa usługa miksera lub adres kontraktu, którego nie ma w naszym rejestrze
Indywidualnie
Exploit mostu
Luka w moście cross-chain lub adres wykorzystany do exploitu
Indywidualnie
Zasady zgłoszeń
Maksymalnie 5 zgłoszeń dziennie na konto (limit przeciwdziałający nadużyciom)
Zgłoszenia danych analitycznych muszą zawierać dowody (hashe transakcji, zrzuty ekranu, adresy URL)
Zgłoszenia bezpieczeństwa muszą być ujawniane odpowiedzialnie — termin ujawnienia to 90 dni
Zgłoszenia zduplikowane nie są nagradzane — liczy się pierwsze prawidłowe zgłoszenie
Po zgłoszeniu danych obowiązuje 30-dniowy okres karencji, zanim ten sam typ adresu będzie można zgłosić ponownie
Zgłoś luki bezpieczeństwa: [email protected] | Klucz PGP dostępny na żądanie.