Sekuriteit en foutbeloning

InstaSwap skuif gebruikersfondse deur programmatiese escrow-kontrakte wat deur Hashlock geouditeer is (verslag word gepubliseer) en deur onafhanklike goedkeurende ondertekenaars beskerm word. Ons aanvaar steeds dat ons verkeerd kan wees. As jy 'n manier vind om fondse te steel, te vries of verkeerd te stuur, of om 'n rekening oor te neem, wil ons dit eerste hoor en ons sal daarvoor betaal.

1. Hoe om aan te meld

E-pos die besonderhede na die adres hieronder met die onderwerp "Security report". Sluit die geraakte komponent in, die ketting en kontrakadres waar van toepassing, stap-vir-stap reproduksie en 'n bewys van konsep ('n toets op 'n gevurkte ketting, 'n versoekspoor of 'n kort skrip). As jy 'n geënkripteerde kanaal nodig het, vra daarvoor in jou eerste e-pos en ons stel dit op voordat jy besonderhede stuur.

Meld aan by: support@instaswap.com

2. Wat om van ons te verwag

Ons erken elke verslag binne 2 werksdae en gee 'n eerste ernsbepaling binne 7 dae. Kritieke probleme word onmiddellik versag (deposito's kan onderbreek word en bewaring na terugbetalings gestuur word terwyl 'n regstelling voorberei word) en die regstelling word deur ons ouditeure hertoets voordat die probleem gesluit word. Jy kry 'n statusopdatering by elke stap en 'n finale opsomming wanneer die probleem opgelos is.

3. Omvang

Binne omvang:

• Die escrow-fabriekkontrakte en hul escrow-implementerings wat in afdeling 6 gelys word, op elke ketting waar hulle ontplooi is.
• Die goedkeuringslaag: enige manier om 'n beskermde escrow-oproep te laat slaag sonder die vereiste aantal onafhanklike goedkeurderhandtekeninge, of om goedkeurders 'n skadelike oproep te laat onderteken.
• Die openbare API en agterkant (api- en walletlessapi-subdomeine van instaswap.com) waar die impak fondse raak: uitbetalings aan die verkeerde ontvanger, omseiling van fooie, dubbele betaling, terugbetalings na die verkeerde adres, of manipulasie van 'n kwotasie wat tot 'n verlies by uitvoering lei.
• instaswap.com, die vennootportaal en die verkenner: omseiling van verifikasie, rekeningoorname, blootstelling van ander gebruikers se data.

Buite omvang (nie beloon nie):

• Diensweiering, tempobeperking, strooipos en enigiets wat oormatige verkeer vereis.
• Uitvissing, sosiale manipulasie, fisiese aanvalle en probleme in derdeparty-handelsplekke, brûe, netwerke of beursies waardeur InstaSwap roeteer of waarmee dit integreer.
• Ontwerpbesluite wat in afdeling 7 gedokumenteer is, insluitend die rolle van die eienaarsleutel en die operateursleutel.
• Uitgetrede kontrakgenerasies, toetsnetwerke, beste-praktyk-aanbevelings sonder 'n bewese impak, self-XSS, ontbrekende sekuriteitskopstukke en bevindings van outomatiese skandeerders sonder 'n werkende bewys van konsep.

4. Erns en belonings

Erns word deur InstaSwap bepaal uit die bewese impak en die waarskynlikheid van uitbuiting. Bedrae is in USD en word in USDC of USDT op 'n ondersteunde ketting van jou keuse betaal.

5. Betalingsvoorwaardes

• Die eerste geldige verslag van 'n probleem word beloon. Duplikate en probleme wat reeds aan ons bekend is, nie.
• Belonings word binne 14 dae nadat die regstelling bevestig is, betaal. Vir belonings bo 2 000 USD vra ons identiteitsverifikasie voor betaling, en ons kan nie persone of entiteite onder sanksies betaal nie.
• Verskeie verslae wat een grondoorsaak deel, tel as een probleem.
• InstaSwap kan hierdie program enige tyd onderbreek of verander. Enige onderbreking word op hierdie bladsy aangekondig en verslae wat voor die onderbreking ontvang is, word volgens die voorwaardes wat gegeld het toe hulle gestuur is, nagekom.

6. Geouditeerde kontrakte binne omvang

Die huidige escrow-generasie is deur Hashlock geouditeer (verslag word gepubliseer). Bronkode is op elke blokverkenner geverifieer en in die ouditbewaarplek gepubliseer. Elke fabriek hieronder ontplooi een minimale escrow per bestelling vanaf die getoonde implementering.

Ouditbewaarplek: github.com/Instaswap-Labs/instaswap-escrow-audit

7. Bekende ontwerpbesluite

Die volgende is doelbewus en gedokumenteer en word nie op sigself beloon nie. Verslae wat wys hoe een daarvan verder as die bedoeling misbruik kan word, is welkom.

• Elke fabriek het een eienaarsleutel wat op 'n hardewarebeursie gehou word. Veranderinge wat sekuriteit verslap (goedkeurderstel, tesourie, operateur) tree eers na 'n openbare vertraging van 48 uur in werking; die enigste onmiddellike eienaarsaksie is om te onderbreek.
• Roetine-escrow-oproepe word deur 'n operateursleutel gestuur, maar elke oproep wat fondse skuif moet handtekeninge dra van 3 van 4 onafhanklike goedkeurende ondertekenaars wat die bestelling teen ons rekords herkontroleer voordat hulle onderteken.
• Elke escrow lê die gebruiker se terugbetalingsadres by skepping vas. Na die terugbetalingsuitteltyd kan enigiemand die terugbetaling na daardie adres sneller, sodat fondse nooit agter InstaSwap vas kan sit nie.
• Ruiltransaksies word op derdeparty-likiditeitshandelsplekke en netwerke uitgevoer. Hul beskikbaarheid, pryse en glyding val buite hierdie program.

8. Reëls en veilige hawe

• Toets slegs teen jou eie bestellings en fondse. Moenie data wat aan ander gebruikers behoort, benader, wysig of uitvee nie, en moenie die diens verswak nie.
• Demonstreer op-ketting-probleme op 'n gevurkte ketting of met minimale bedrae. Buit nooit 'n probleem op hoofnet teen werklike gebruikersfondse uit nie.
• Gee ons minstens 90 dae om die probleem reg te stel en moenie besonderhede publiseer voordat ons die regstelling bevestig nie. Ons gee jou graag openbare erkenning wanneer dit opgelos is, as jy wil.
• Navorsing wat hierdie reëls volg, is gemagtig. Ons sal nie regstappe teen navorsers te goeder trou neem nie en sal hulle nie by owerhede aanmeld vir hul navorsing nie.

Sekuriteitsverslae en vrae oor hierdie program: support@instaswap.com