> For the complete documentation index, see [llms.txt](https://yubit.gitbook.io/yubit/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yubit.gitbook.io/yubit/es/otra-ayuda/programa-de-recompensas-por-errores-de-yubit.md). # Programa de recompensas por errores de YUBIT Nos complace anunciar el lanzamiento del **Programa de recompensas por fallos de YUBIT** e invitamos cordialmente a los investigadores de seguridad y a los miembros de la comunidad a participar informando vulnerabilidades. 📩 Por favor, envíe los informes de fallos a: ****\ Nuestro equipo de seguridad revisará y validará las solicitudes con prontitud y se pondrá en contacto con usted tras la confirmación.\ ¡Valoramos enormemente sus contribuciones a la seguridad! *** ### 1. Recompensa por fallos web **Alcance de las pruebas:** * [www.yubit.com](https://www.yubit.com) **Rango de recompensas:** * Riesgo bajo: **$50 – $100** * Riesgo medio: **$100 – $500** * Riesgo alto: **$500 – $1,000** * Crítico: **$1,000 – $5,000** *** ### 2. Definiciones de gravedad de vulnerabilidades web #### (1) Vulnerabilidades críticas Afectan a los sistemas centrales del negocio (sistemas de control, controladores de dominio, sistemas de distribución, hosts bastión, etc.) y pueden causar daños graves.\ **Posibles consecuencias:** * Control no autorizado de sistemas empresariales * Acceso a privilegios de administrador de los sistemas principales * Control total de la infraestructura principal\ **Ejemplos:** * Control de múltiples dispositivos en la red interna * Acceso a privilegios de superadministrador del backend, lo que puede provocar importantes filtraciones de datos * Exploits de desbordamiento o condiciones de carrera en contratos inteligentes #### (2) Vulnerabilidades de alto riesgo * Escalada de privilegios (GetShell, ejecución de comandos) * Inyección SQL * Omisión de autenticación, contraseñas débiles, SSRF, exposición de datos sensibles * Lectura arbitraria de archivos / XXE * Transacciones no autorizadas o elusión de la lógica de pagos * Fallos lógicos graves (p. ej., iniciar sesión como cualquier usuario, restablecimientos masivos de contraseñas) * XSS almacenado (amplio impacto) * Filtración masiva de código fuente * Configuraciones incorrectas de privilegios en contratos inteligentes #### (3) Vulnerabilidades de riesgo medio * Problemas que requieren interacción del usuario (p. ej., XSS almacenado, CSRF) * Omisión de autorización horizontal/paralela * Denegación de servicio (DoS) * Fallos de CAPTCHA que permiten ataques de fuerza bruta * Fuga local de claves sensibles #### (4) Vulnerabilidades de bajo riesgo * DoS local (bloqueo del cliente) * Divulgación menor de información (path traversal, listado de directorios) * XSS reflejado/DOM * CSRF básico * Problemas de redirección de URL * Envío masivo de SMS/correos electrónicos (limitado por sistema) * Otros problemas de bajo impacto o no demostrados *** ### 3. Vulnerabilidades no aceptadas * Suplantación de correo electrónico * Enumeración de usuarios * Self-XSS / inyección HTML * Falta de CSP / SRI * CSRF no sensible * Problemas de configuración de Android (p. ej., `android:allowBackup="true"`) * Problemas únicamente de rendimiento (p. ej., renderizado lento de imágenes) * Divulgación de la versión de componentes de terceros (p. ej., versión de Nginx) * Errores funcionales no relacionados con la seguridad * Ingeniería social contra empleados de YUBIT *** ### 4. Definiciones de vulnerabilidades en contratos inteligentes #### (1) Crítico * Manipulación de votaciones de gobernanza * Robo directo de fondos de usuarios (excluyendo recompensas no reclamadas) * Congelación permanente de fondos * Explotación del Valor Extraíble por Mineros (MEV) * Insolvencia del protocolo #### (2) Riesgo alto * Robo o congelación de recompensas/regalías no reclamadas * Congelación temporal de fondos #### (3) Riesgo medio * Interrupciones del contrato por agotamiento de tokens * Aprovechamiento de la congestión de la red para obtener beneficios * Robo de gas o uso excesivo forzado de gas * Sabotaje disruptivo y no lucrativo #### (4) Riesgo bajo * Sin pérdida directa de fondos, pero daña la confianza o los compromisos * Riesgos informativos (errores de oráculo, ataques de gobernanza, riesgos de liquidez, ataques Sybil, etc.) * Recomendaciones de buenas prácticas *** ### 5. Actividades prohibidas * Ingeniería social o ataques de phishing * Divulgación pública o distribución de detalles de vulnerabilidades * Pruebas destructivas (solo se permite la prueba de concepto) * Escaneo a gran escala no autorizado * Modificación de páginas web, inundación de ventanas emergentes, robo de cookies o cargas útiles intrusivas * Cualquier daño no reportado durante las pruebas ⚠️ El incumplimiento de las normas puede resultar en **consecuencias legales**. *** ### 6. Nota final Gracias por contribuir a la seguridad de la plataforma YUBIT.\ Juntos, podemos construir un **ecosistema cripto más seguro y más transparente**.