Программа баг-баунти YUBIT
Мы рады объявить о запуске Программы вознаграждений YUBIT за найденные уязвимости и тепло призываем исследователей безопасности и членов сообщества участвовать, сообщая об уязвимостях.
📩 Пожалуйста, отправляйте отчёты об ошибках по адресу: bd@yubit.com Наша команда безопасности оперативно рассмотрит и проверит предоставленные материалы и свяжется с вами после подтверждения. Ваш вклад в безопасность высоко ценится!
1. Веб-программа Bug Bounty
Область тестирования:
Диапазон вознаграждения:
Низкий риск: $50 – $100
Средний риск: $100 – $500
Высокий риск: $500 – $1,000
Критический: $1,000 – $5,000
2. Определения степени критичности веб-уязвимостей
(1) Критические уязвимости
Затрагивают основные бизнес-системы (системы управления, контроллеры домена, системы распределения, bastion host и т. д.) и могут причинить серьёзный ущерб. Возможные последствия:
Несанкционированный контроль над бизнес-системами
Доступ к административным правам в основной системе
Полный контроль над основной инфраструктурой Примеры:
Контроль над несколькими устройствами во внутренней сети
Доступ к супер-админским привилегиям бэкенда, что ведёт к серьёзным утечкам данных
Эксплойты переполнения или состояния гонки в смарт-контракте
(2) Уязвимости высокого риска
Повышение привилегий (GetShell, выполнение команд)
SQL-инъекция
Обход аутентификации, слабые пароли, SSRF, раскрытие чувствительных данных
Произвольное чтение файлов / XXE
Несанкционированные транзакции или обход логики платежей
Серьёзные логические ошибки (например, вход под любым пользователем, массовый сброс паролей)
Сохранённый XSS (широкий эффект)
Масштабная утечка исходного кода
Неправильные настройки привилегий смарт-контракта
(3) Уязвимости среднего риска
Проблемы, требующие взаимодействия пользователя (например, сохранённый XSS, CSRF)
Горизонтальный/параллельный обход авторизации
Отказ в обслуживании (DoS)
Недочёты CAPTCHA, приводящие к атакам перебором
Утечка локального секретного ключа
(4) Уязвимости низкого риска
Локальный DoS (сбой клиента)
Незначительное раскрытие информации (path traversal, list directory)
Отражённый/DOM XSS
Базовый CSRF
Проблемы перенаправления URL
Рассылка SMS/e-mail (ограниченная для каждой системы)
Другие проблемы с низким воздействием или недоказанные
3. Уязвимости, не принимаемые к рассмотрению
Подмена email-адреса
Перечисление пользователей
Self-XSS / внедрение HTML
Отсутствует CSP / SRI
Небезопасный CSRF
Проблемы конфигурации Android (например,
android:allowBackup="true")Проблемы только с производительностью (например, медленное отображение изображений)
Раскрытие версии стороннего компонента (например, версия Nginx)
Функциональные ошибки, не связанные с безопасностью
Социальная инженерия в отношении сотрудников YUBIT
4. Определения уязвимостей смарт-контрактов
(1) Критический
Манипуляции с голосованием по управлению
Прямая кража средств пользователей (за исключением невостребованных вознаграждений)
Постоянная заморозка средств
Эксплуатация Miner Extractable Value (MEV)
Неплатёжеспособность протокола
(2) Высокий риск
Кража или заморозка невостребованных вознаграждений/роялти
Временная заморозка средств
(3) Средний риск
Остановка контракта из-за исчерпания токенов
Использование перегрузки сети для получения прибыли
Кража газа или принудительное чрезмерное потребление газа
Деструктивный, не приносящий прибыли саботаж
(4) Низкий риск
Нет прямой потери средств, но наносится ущерб доверию/обязательствам
Информационные риски (ошибки оракулов, атаки на управление, риски ликвидности, атаки Сивиллы и т. д.)
Рекомендации по лучшим практикам
5. Запрещённые действия
Социальная инженерия или фишинговые атаки
Публичное раскрытие или распространение сведений об уязвимостях
Деструктивное тестирование (разрешён только Proof of Concept)
Несанкционированное массовое сканирование
Изменение веб-страниц, спам всплывающими окнами, кража cookie или навязчивые полезные нагрузки
Любой неотчётный ущерб во время тестирования
⚠️ Несоблюдение правил может привести к правовым последствиям.
6. Заключительное слово
Спасибо за вклад в безопасность платформы YUBIT. Вместе мы можем построить более безопасную и прозрачную криптоэкосистему.
Последнее обновление