Programme de chasse aux bogues YUBIT

Nous sommes ravis d’annoncer le lancement du Programme de chasse aux bogues YUBIT et encourageons vivement les chercheurs en sécurité et les membres de la communauté à participer en signalant les vulnérabilités.

📩 Veuillez envoyer les rapports de bogues à : [e-mail] Notre équipe de sécurité examinera et validera rapidement les soumissions et vous contactera après confirmation. Vos contributions à la sécurité sont très appréciées !

---

1. Prime aux bogues Web

Périmètre des tests :

• www.yubit.com

Fourchette de récompense :

• Risque faible : 50 $ – 100 $

• Risque moyen : 100 $ – 500 $

• Risque élevé : 500 $ – 1 000 $

• Critique : 1 000 $ – 5 000 $

---

2. Définitions de la gravité des vulnérabilités Web

(1) Vulnérabilités critiques

Elles affectent les systèmes métier essentiels (systèmes de contrôle, contrôleurs de domaine, systèmes de distribution, bastions, etc.) et peuvent causer de graves dommages. Résultats possibles :

• Prise de contrôle non autorisée des systèmes métier

• Accès aux droits d’administration des systèmes centraux

• Contrôle total de l’infrastructure centrale Exemples :

• Contrôle de plusieurs appareils du réseau interne

• Accès aux privilèges super administrateur du backend, entraînant d’importantes fuites de données

• Exploits de dépassement de contrat intelligent ou de condition de concurrence

(2) Vulnérabilités à risque élevé

• Escalade de privilèges (GetShell, exécution de commandes)

• Injection SQL

• Contournement de l’authentification, mots de passe faibles, SSRF, exposition de données sensibles

• Lecture arbitraire de fichiers / XXE

• Transactions non autorisées ou contournement de la logique de paiement

• Défauts logiques graves (par ex. se connecter en tant que n’importe quel utilisateur, réinitialisations massives de mots de passe)

• XSS stocké (impact étendu)

• Fuite de code स्रोत importante

• Mauvaises configurations de privilèges des contrats intelligents

(3) Vulnérabilités à risque moyen

• Problèmes nécessitant une interaction de l’utilisateur (par ex. XSS stocké, CSRF)

• Contournement d’autorisation horizontale/parallèle

• Déni de service (DoS)

• Failles de CAPTCHA menant à des attaques par force brute

• Fuite locale de clés sensibles

(4) Vulnérabilités à risque faible

• DoS local (crash du client)

• Divulgation mineure d’informations (traversée de répertoires, listing de répertoires)

• XSS réfléchi/DOM

• CSRF basique

• Problèmes de redirection d’URL

• Spam par SMS/e-mail (limité par système)

• Autres problèmes à faible impact ou non prouvés

---

3. Vulnérabilités non acceptées

• Usurpation d’e-mail

• Énumération des utilisateurs

• Self-XSS / injection HTML

• CSP / SRI manquants

• CSRF non sensible

• Problèmes de configuration Android (par ex. android:allowBackup="true")

• Problèmes de performance uniquement (par ex. rendu d’images lent)

• Divulgation de la version d’un composant tiers (par ex. version de Nginx)

• Bugs fonctionnels sans impact sur la sécurité

• Ingénierie sociale contre les employés de YUBIT

---

4. Définitions des vulnérabilités des contrats intelligents

(1) Critique

• Manipulation du vote de gouvernance

• Vol direct des fonds des utilisateurs (à l’exclusion des récompenses non réclamées)

• Blocage permanent des fonds

• Exploitation de la valeur extractible par les mineurs (MEV)

• Insolvabilité du protocole

(2) Risque élevé

• Vol ou blocage des récompenses/redevances non réclamées

• Blocage temporaire des fonds

(3) Risque moyen

• Arrêt du contrat en raison de l’épuisement des jetons

• Exploitation de la congestion du réseau à des fins lucratives

• Vol de gaz ou consommation forcée excessive de gaz

• Sabotage perturbateur, non lucratif

(4) Risque faible

• Pas de perte directe de fonds, mais atteinte à la confiance/aux engagements

• Risques informatifs (erreurs d’oracle, attaques sur la gouvernance, risques de liquidité, attaques Sybil, etc.)

• Recommandations de bonnes pratiques

---

5. Activités interdites

• Ingénierie sociale ou attaques de phishing

• Divulgation publique ou diffusion des détails de la vulnérabilité

• Tests destructifs (seule la preuve de concept est autorisée)

• Analyse massive non autorisée

• Modification de page web, inondation de fenêtres contextuelles, vol de cookies ou charges utiles intrusives

• Tout dommage non signalé pendant les tests

⚠️ Le non-respect des règles peut entraîner des conséquences juridiques.

---

6. Mot de la fin

Merci de contribuer à la sécurité de la plateforme YUBIT. Ensemble, nous pouvons construire un écosystème crypto plus sûr et plus transparent.