Program nagród za wykrywanie błędów YUBIT
Z radością ogłaszamy uruchomienie Programu Bug Bounty YUBIT i serdecznie zachęcamy badaczy bezpieczeństwa oraz członków społeczności do udziału poprzez zgłaszanie luk w zabezpieczeniach.
📩 Prosimy przesyłać raporty o błędach na adres: bd@yubit.com Nasz zespół ds. bezpieczeństwa niezwłocznie przejrzy i zweryfikuje zgłoszenia, a po potwierdzeniu skontaktuje się z Tobą. Twoje wkłady w bezpieczeństwo są bardzo cenione!
1. Web Bug Bounty
Zakres testów:
Zakres nagród:
Niskie ryzyko: 50–100 USD
Średnie ryzyko: 100–500 USD
Wysokie ryzyko: 500–1 000 USD
Krytyczne: 1 000–5 000 USD
2. Definicje poziomu podatności w sieci Web
(1) Krytyczne podatności
Dotyczą kluczowych systemów biznesowych (systemów sterowania, kontrolerów domeny, systemów dystrybucji, bastion hostów itp.) i mogą powodować poważne szkody. Możliwe skutki:
Nieautoryzowane przejęcie kontroli nad systemami biznesowymi
Dostęp do uprawnień administratora kluczowych systemów
Pełna kontrola nad kluczową infrastrukturą Przykłady:
Kontrola wielu urządzeń w sieci wewnętrznej
Dostęp do uprawnień superadministratora zaplecza, prowadzący do poważnych wycieków danych
Wykorzystanie przepełnienia lub warunków wyścigu w smart kontraktach
(2) Podatności wysokiego ryzyka
Eskalacja uprawnień (GetShell, wykonywanie poleceń)
SQL injection
Obejście uwierzytelniania, słabe hasła, SSRF, ujawnienie wrażliwych danych
Dowolny odczyt plików / XXE
Nieautoryzowane transakcje lub obejście logiki płatności
Poważne błędy logiczne (np. logowanie jako dowolny użytkownik, masowe resetowanie haseł)
Stored XSS (szeroki wpływ)
Duży wyciek kodu źródłowego
Błędne konfiguracje uprawnień smart kontraktów
(3) Podatności średniego ryzyka
Problemy wymagające interakcji użytkownika (np. Stored XSS, CSRF)
Poziome/równoległe obejście autoryzacji
Odmowa usługi (DoS)
Błędy CAPTCHA prowadzące do ataków brute force
Lokalny wyciek wrażliwych kluczy
(4) Podatności niskiego ryzyka
Lokalny DoS (awaria klienta)
Niewielkie ujawnienie informacji (path traversal, listing katalogów)
Reflected/DOM XSS
Podstawowy CSRF
Problemy z przekierowaniem URL
Spam SMS/e-mail (ograniczony dla danego systemu)
Inne problemy o niskim wpływie lub niepotwierdzone
3. Podatności nieakceptowane
Podszywanie się pod e-mail
Enumeracja użytkowników
Self-XSS / wstrzyknięcie HTML
Brak CSP / SRI
CSRF niewrażliwy
Problemy z konfiguracją Androida (np.
android:allowBackup="true")Problemy wyłącznie wydajnościowe (np. powolne renderowanie obrazów)
Ujawnienie wersji komponentu firm trzecich (np. wersji Nginx)
Błędy funkcjonalne niezwiązane z bezpieczeństwem
Socjotechnika wobec pracowników YUBIT
4. Definicje podatności smart kontraktów
(1) Krytyczne
Manipulacja głosowaniem w zarządzaniu
Bezpośrednia kradzież środków użytkowników (z wyłączeniem nieodebranych nagród)
Trwałe zamrożenie środków
Wykorzystanie Miner Extractable Value (MEV)
Niewypłacalność protokołu
(2) Wysokie ryzyko
Kradzież lub zamrożenie nieodebranych nagród/royalties
Tymczasowe zamrożenie środków
(3) Średnie ryzyko
Wstrzymanie kontraktu z powodu wyczerpania tokenów
Wykorzystywanie przeciążenia sieci dla zysku
Kradzież gazu lub wymuszone nadmierne zużycie gazu
Uciążliwy sabotaż bez zysku
(4) Niskie ryzyko
Brak bezpośredniej utraty środków, ale szkoda dla zaufania/ustaleń
Ryzyka informacyjne (błędy wyroczni, ataki na zarządzanie, ryzyka płynności, ataki Sybil itd.)
Zalecenia zgodne z najlepszymi praktykami
5. Zabronione działania
Socjotechnika lub ataki phishingowe
Publiczne ujawnianie lub rozpowszechnianie szczegółów podatności
Testy destrukcyjne (dozwolony jest wyłącznie Proof of Concept)
Nieautoryzowane skanowanie na dużą skalę
Modyfikacja strony internetowej, zalewanie wyskakującymi oknami, kradzież ciasteczek lub inwazyjne payloady
Wszelkie niezgłoszone szkody podczas testów
⚠️ Niezastosowanie się do zasad może skutkować konsekwencjami prawnymi.
6. Nota końcowa
Dziękujemy za wkład w bezpieczeństwo platformy YUBIT. Razem możemy zbudować bezpieczniejszy i bardziej przejrzysty ekosystem kryptowalut.
Ostatnia aktualizacja