GÜVEN · GÜVENLİK ARAŞTIRMASI
Güvenlik araştırmacıları için 2 milyon dolarlık havuz. Kapsam, kurallar ve ödül tablosu burada yazılı; her bildirim 24 saat içinde gerçek bir kişiden yanıt alır, geçerli bulgu 14 günde ödenir.
ÖDÜL TABLOSU · USD
Seviye CVSS 4.0 puanıyla belirlenir; para akışını ya da özel anahtarları etkileyen bulgular bir seviye yukarı değerlendirilir. Aralığın neresine düştüğünüz etkiye, kanıtınızın kalitesine ve düzeltme önerinize bağlıdır.
| Seviye | Ne sayılır | CVSS 4.0 | Ödül |
|---|---|---|---|
| Kritik | Fon çıkışı, sıcak cüzdan anahtarına erişim, toplu hesap ele geçirme, emir motorunu manipüle etme | 9,0 – 10,0 | 75 – 100 USD |
| Yüksek | Tekil hesap ele geçirme, 2FA ya da çekim onayını atlatma, yetki yükseltme, KYC verisine erişim | 7,0 – 8,9 | 50 – 75 USD |
| Orta | Sınırlı veri sızıntısı (IDOR), kritik işlemde CSRF, oturum sabitleme, depolanan XSS | 4,0 – 6,9 | 25 – 50 USD |
| Düşük | Yansıyan XSS, gereğinden fazla bilgi veren hata mesajı, hız sınırı eksikliği | 0,1 – 3,9 | 10 – 25 USD |
Aynı açığı ilk bildiren ödülü alır; sonraki bildirimler ilk bildirene bağlanır. Ödül yalnız USDT olarak, seçtiğiniz hesaba ödenir.
KAPSAM
Kapsamdaki yüzeylerde bulunan her geçerli açık ödüllendirilir. Kapsam dışı maddeler ödül almaz; yine de bildirebilirsiniz, ilgili tarafa iletiriz.
KURALLAR · GÜVENLİ LİMAN
Kurallara uyan araştırma güvenli limandadır: hukuki yol açmayız, hesabınızı kapatmayız, isterseniz bulguyu adınızla anarız.
Test hesapları "+bounty" ekli e-postayla açılır. Başka bir kullanıcının verisini gördüğünüz anda durun, ekran görüntüsü almayın, bildirin.
Etkiyi göstermek için gereken en küçük adım yeter. Veri silme, değiştirme, dışa aktarma ve hizmeti yavaşlatma kapsam dışıdır.
Düzeltme yayımlanana ya da 90 gün geçene kadar bulgu kamuya açıklanmaz. Sonrasında birlikte açıklarız; adınız teşekkür listesine izinle girer.
Bu kurallara uyan iyi niyetli araştırmaya karşı hukuki yol açmayacağımızı yazılı taahhüt ederiz. Belirsiz bir durumda önce [email protected] adresine, konu satırına «Güvenlik» yazarak sorun.
SÜREÇ
Her adımın süresi yazılı ve ölçülür; sapma olursa Şeffaflık raporunda görünür.
Otomatik yanıt değil: triage ekibinden bir kişi bulguyu üstlenir, size adıyla yazar.
Bulgu yeniden üretilir; CVSS puanı ve seviye yazılı gerekçeyle bildirilir. İtiraz hakkın var.
Kritik ve yüksek seviye 72 saat içinde geçici önlem alır; kalıcı düzeltme 30 günü aşmaz.
Seviye kesinleşince 14 gün içinde ödenir. Vergi belgesi istenir; tutar size yazılır, aracıya değil.
Son 12 ay: 412 bildirim · 61 geçerli bulgu · ortalama ödeme süresi 9 gün. Sayılar altı ayda bir Şeffaflık raporunda güncellenir.
İLETİŞİM
Şifreli e-posta yeter; form yok, hesap açmak gerekmez. Bildirimde şu beş şey varsa doğrulama bir günde biter.
[email protected] adresine, konu satırına «Güvenlik» yazarak gönderin; PGP ile şifreleyin. Anahtar bu sayfada ve Güvenlik sayfasındaki resmî kanallar listesinde yayımlanır; başka bir adresten gelen "ödül" yazışması bize ait değildir.
PGP 4F1C 9B2E 77A0 D3C4 88E1 0B6F 52D9 A7E3 C1B0 6E42