> For the complete documentation index, see [llms.txt](https://yubit.gitbook.io/yubit/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yubit.gitbook.io/yubit/pl/inna-pomoc/program-nagrod-za-wykrywanie-bledow-yubit.md). # Program nagród za wykrywanie błędów YUBIT Z radością ogłaszamy uruchomienie **Programu Bug Bounty YUBIT** i serdecznie zachęcamy badaczy bezpieczeństwa oraz członków społeczności do udziału poprzez zgłaszanie luk w zabezpieczeniach. 📩 Prosimy przesyłać raporty o błędach na adres: ****\ Nasz zespół ds. bezpieczeństwa niezwłocznie przejrzy i zweryfikuje zgłoszenia, a po potwierdzeniu skontaktuje się z Tobą.\ Twoje wkłady w bezpieczeństwo są bardzo cenione! *** ### 1. Web Bug Bounty **Zakres testów:** * [www.yubit.com](https://www.yubit.com) **Zakres nagród:** * Niskie ryzyko: **50–100 USD** * Średnie ryzyko: **100–500 USD** * Wysokie ryzyko: **500–1 000 USD** * Krytyczne: **1 000–5 000 USD** *** ### 2. Definicje poziomu podatności w sieci Web #### (1) Krytyczne podatności Dotyczą kluczowych systemów biznesowych (systemów sterowania, kontrolerów domeny, systemów dystrybucji, bastion hostów itp.) i mogą powodować poważne szkody.\ **Możliwe skutki:** * Nieautoryzowane przejęcie kontroli nad systemami biznesowymi * Dostęp do uprawnień administratora kluczowych systemów * Pełna kontrola nad kluczową infrastrukturą\ **Przykłady:** * Kontrola wielu urządzeń w sieci wewnętrznej * Dostęp do uprawnień superadministratora zaplecza, prowadzący do poważnych wycieków danych * Wykorzystanie przepełnienia lub warunków wyścigu w smart kontraktach #### (2) Podatności wysokiego ryzyka * Eskalacja uprawnień (GetShell, wykonywanie poleceń) * SQL injection * Obejście uwierzytelniania, słabe hasła, SSRF, ujawnienie wrażliwych danych * Dowolny odczyt plików / XXE * Nieautoryzowane transakcje lub obejście logiki płatności * Poważne błędy logiczne (np. logowanie jako dowolny użytkownik, masowe resetowanie haseł) * Stored XSS (szeroki wpływ) * Duży wyciek kodu źródłowego * Błędne konfiguracje uprawnień smart kontraktów #### (3) Podatności średniego ryzyka * Problemy wymagające interakcji użytkownika (np. Stored XSS, CSRF) * Poziome/równoległe obejście autoryzacji * Odmowa usługi (DoS) * Błędy CAPTCHA prowadzące do ataków brute force * Lokalny wyciek wrażliwych kluczy #### (4) Podatności niskiego ryzyka * Lokalny DoS (awaria klienta) * Niewielkie ujawnienie informacji (path traversal, listing katalogów) * Reflected/DOM XSS * Podstawowy CSRF * Problemy z przekierowaniem URL * Spam SMS/e-mail (ograniczony dla danego systemu) * Inne problemy o niskim wpływie lub niepotwierdzone *** ### 3. Podatności nieakceptowane * Podszywanie się pod e-mail * Enumeracja użytkowników * Self-XSS / wstrzyknięcie HTML * Brak CSP / SRI * CSRF niewrażliwy * Problemy z konfiguracją Androida (np. `android:allowBackup="true"`) * Problemy wyłącznie wydajnościowe (np. powolne renderowanie obrazów) * Ujawnienie wersji komponentu firm trzecich (np. wersji Nginx) * Błędy funkcjonalne niezwiązane z bezpieczeństwem * Socjotechnika wobec pracowników YUBIT *** ### 4. Definicje podatności smart kontraktów #### (1) Krytyczne * Manipulacja głosowaniem w zarządzaniu * Bezpośrednia kradzież środków użytkowników (z wyłączeniem nieodebranych nagród) * Trwałe zamrożenie środków * Wykorzystanie Miner Extractable Value (MEV) * Niewypłacalność protokołu #### (2) Wysokie ryzyko * Kradzież lub zamrożenie nieodebranych nagród/royalties * Tymczasowe zamrożenie środków #### (3) Średnie ryzyko * Wstrzymanie kontraktu z powodu wyczerpania tokenów * Wykorzystywanie przeciążenia sieci dla zysku * Kradzież gazu lub wymuszone nadmierne zużycie gazu * Uciążliwy sabotaż bez zysku #### (4) Niskie ryzyko * Brak bezpośredniej utraty środków, ale szkoda dla zaufania/ustaleń * Ryzyka informacyjne (błędy wyroczni, ataki na zarządzanie, ryzyka płynności, ataki Sybil itd.) * Zalecenia zgodne z najlepszymi praktykami *** ### 5. Zabronione działania * Socjotechnika lub ataki phishingowe * Publiczne ujawnianie lub rozpowszechnianie szczegółów podatności * Testy destrukcyjne (dozwolony jest wyłącznie Proof of Concept) * Nieautoryzowane skanowanie na dużą skalę * Modyfikacja strony internetowej, zalewanie wyskakującymi oknami, kradzież ciasteczek lub inwazyjne payloady * Wszelkie niezgłoszone szkody podczas testów ⚠️ Niezastosowanie się do zasad może skutkować **konsekwencjami prawnymi**. *** ### 6. Nota końcowa Dziękujemy za wkład w bezpieczeństwo platformy YUBIT.\ Razem możemy zbudować **bezpieczniejszy i bardziej przejrzysty ekosystem kryptowalut**.