クリティカル
最大 $50,000
ユーザー資金の直接的な窃取、不正なミント、または資金損失につながる秘密鍵の漏洩。
報酬最上位ティア
深刻度別の報酬
支払いはUSD建てで、ステーブルコインにて支払われます。最終的な金額は、深刻度、悪用可能性、報告の質によって決まります。
高
最大 $25,000
資金の一時的な凍結、権限昇格、またはプロトコルの完全性に対する重大な障害。
中
最大 $5,000
限定的な悪用経路や回復可能な状態破損など、影響が限られるバグ。
低
最大 $1,000
低リスクの問題、ベストプラクティスの不備、または明確なセキュリティ的価値を持つ情報的な発見。
スコープ
対象範囲
SVP Chainのコアプロトコル、公式アプリケーション、およびユーザーやネットワークに影響を及ぼしうるインフラに焦点を当ててください。
スマートコントラクト
価値を管理し、取引ルールを執行するオンチェーンモジュールとコントラクト。
- マッチング、決済、証拠金関連のコントラクト
- ブリッジおよびカストディ関連のコントラクト
- SVPが公式に維持するトークンおよびステーキングコントラクト
ウェブサイトとアプリケーション
資金損失やアカウント乗っ取りにつながりうる公式フロントエンドとAPI。
- 公式の取引およびウォレット接続型ウェブアプリ
- 認証およびセッション処理の不備
- 不正なトランザクションにつながるXSS／CSRF
インフラストラクチャ
侵害されるとシステミックリスクを生み出すネットワーク公開サービス。
- 権限に影響を与えるRPC／インデクサーの露出
- ネットワーク障害を引き起こす設定ミス
- 公式デプロイメントにおけるシークレットの漏洩
ルール
プログラムのルール
責任ある開示に従ってください。これらのルールに違反する報告は、報酬なしで却下される場合があります。
PoCが必須
すべての報告には、明確な概念実証、再現手順、影響分析を含める必要があります。
責任ある開示
未修正の問題を公に開示しないでください。修正が完了するまで、Discordを通じて非公開で連携してください。
禁止行為
本番システムに対するフィッシング、ソーシャルエンジニアリング、DoS、大量の自動スキャンは禁止です。
対象外
サードパーティのサービス、既知の問題、PoCのない理論的な発見、およびUIのみの表面的なバグ。
プロセス
提出方法
調査
ローカルフォークまたはプライベート環境で問題を検証します。
文書化
深刻度、影響、および再現可能なPoCを準備します。
Discordで報告
公式のSVPセキュリティチャンネルを通じて提出します。
トリアージと報酬
内容を確認し、深刻度を分類し、支払いを処理します。