> For the complete documentation index, see [llms.txt](https://yubit.gitbook.io/yubit/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yubit.gitbook.io/yubit/ru/drugaya-pomosh/programma-bag-baunti-yubit.md). # Программа баг-баунти YUBIT Мы рады объявить о запуске **Программы вознаграждений YUBIT за найденные уязвимости** и тепло призываем исследователей безопасности и членов сообщества участвовать, сообщая об уязвимостях. 📩 Пожалуйста, отправляйте отчёты об ошибках по адресу: ****\ Наша команда безопасности оперативно рассмотрит и проверит предоставленные материалы и свяжется с вами после подтверждения.\ Ваш вклад в безопасность высоко ценится! *** ### 1. Веб-программа Bug Bounty **Область тестирования:** * [www.yubit.com](https://www.yubit.com) **Диапазон вознаграждения:** * Низкий риск: **$50 – $100** * Средний риск: **$100 – $500** * Высокий риск: **$500 – $1,000** * Критический: **$1,000 – $5,000** *** ### 2. Определения степени критичности веб-уязвимостей #### (1) Критические уязвимости Затрагивают основные бизнес-системы (системы управления, контроллеры домена, системы распределения, bastion host и т. д.) и могут причинить серьёзный ущерб.\ **Возможные последствия:** * Несанкционированный контроль над бизнес-системами * Доступ к административным правам в основной системе * Полный контроль над основной инфраструктурой\ **Примеры:** * Контроль над несколькими устройствами во внутренней сети * Доступ к супер-админским привилегиям бэкенда, что ведёт к серьёзным утечкам данных * Эксплойты переполнения или состояния гонки в смарт-контракте #### (2) Уязвимости высокого риска * Повышение привилегий (GetShell, выполнение команд) * SQL-инъекция * Обход аутентификации, слабые пароли, SSRF, раскрытие чувствительных данных * Произвольное чтение файлов / XXE * Несанкционированные транзакции или обход логики платежей * Серьёзные логические ошибки (например, вход под любым пользователем, массовый сброс паролей) * Сохранённый XSS (широкий эффект) * Масштабная утечка исходного кода * Неправильные настройки привилегий смарт-контракта #### (3) Уязвимости среднего риска * Проблемы, требующие взаимодействия пользователя (например, сохранённый XSS, CSRF) * Горизонтальный/параллельный обход авторизации * Отказ в обслуживании (DoS) * Недочёты CAPTCHA, приводящие к атакам перебором * Утечка локального секретного ключа #### (4) Уязвимости низкого риска * Локальный DoS (сбой клиента) * Незначительное раскрытие информации (path traversal, list directory) * Отражённый/DOM XSS * Базовый CSRF * Проблемы перенаправления URL * Рассылка SMS/e-mail (ограниченная для каждой системы) * Другие проблемы с низким воздействием или недоказанные *** ### 3. Уязвимости, не принимаемые к рассмотрению * Подмена email-адреса * Перечисление пользователей * Self-XSS / внедрение HTML * Отсутствует CSP / SRI * Небезопасный CSRF * Проблемы конфигурации Android (например, `android:allowBackup="true"`) * Проблемы только с производительностью (например, медленное отображение изображений) * Раскрытие версии стороннего компонента (например, версия Nginx) * Функциональные ошибки, не связанные с безопасностью * Социальная инженерия в отношении сотрудников YUBIT *** ### 4. Определения уязвимостей смарт-контрактов #### (1) Критический * Манипуляции с голосованием по управлению * Прямая кража средств пользователей (за исключением невостребованных вознаграждений) * Постоянная заморозка средств * Эксплуатация Miner Extractable Value (MEV) * Неплатёжеспособность протокола #### (2) Высокий риск * Кража или заморозка невостребованных вознаграждений/роялти * Временная заморозка средств #### (3) Средний риск * Остановка контракта из-за исчерпания токенов * Использование перегрузки сети для получения прибыли * Кража газа или принудительное чрезмерное потребление газа * Деструктивный, не приносящий прибыли саботаж #### (4) Низкий риск * Нет прямой потери средств, но наносится ущерб доверию/обязательствам * Информационные риски (ошибки оракулов, атаки на управление, риски ликвидности, атаки Сивиллы и т. д.) * Рекомендации по лучшим практикам *** ### 5. Запрещённые действия * Социальная инженерия или фишинговые атаки * Публичное раскрытие или распространение сведений об уязвимостях * Деструктивное тестирование (разрешён только Proof of Concept) * Несанкционированное массовое сканирование * Изменение веб-страниц, спам всплывающими окнами, кража cookie или навязчивые полезные нагрузки * Любой неотчётный ущерб во время тестирования ⚠️ Несоблюдение правил может привести к **правовым последствиям**. *** ### 6. Заключительное слово Спасибо за вклад в безопасность платформы YUBIT.\ Вместе мы можем построить **более безопасную и прозрачную криптоэкосистему**.