Sicherheit und Bug Bounty

InstaSwap bewegt Nutzergelder über programmatische Escrow-Verträge, die von Hashlock geprüft wurden (Bericht wird veröffentlicht) und durch unabhängige Approver-Signer abgesichert sind. Trotzdem gehen wir davon aus, dass wir Fehler machen können. Wenn Sie einen Weg finden, Gelder zu stehlen, einzufrieren oder fehlzuleiten oder ein Konto zu übernehmen, möchten wir es als Erste erfahren und bezahlen dafür.

1. So melden Sie einen Fund

Senden Sie die Details per E-Mail an die unten stehende Adresse mit dem Betreff "Security report". Nennen Sie die betroffene Komponente, gegebenenfalls Chain und Vertragsadresse, eine Schritt-für-Schritt-Reproduktion und einen Proof of Concept (ein Test auf einer geforkten Chain, ein Request-Trace oder ein kurzes Skript). Wenn Sie einen verschlüsselten Kanal brauchen, fragen Sie in der ersten E-Mail danach; wir richten ihn ein, bevor Sie Details senden.

Meldung an: support@instaswap.com

2. Was Sie von uns erwarten können

Wir bestätigen jede Meldung innerhalb von 2 Werktagen und geben innerhalb von 7 Tagen eine erste Schweregrad-Einschätzung. Kritische Probleme werden sofort entschärft (Einzahlungen können pausiert und Bestände in Rückerstattungen überführt werden, während ein Fix vorbereitet wird), und der Fix wird von unseren Prüfern erneut getestet, bevor das Problem geschlossen wird. Sie erhalten bei jedem Schritt ein Status-Update und eine abschließende Zusammenfassung, wenn das Problem behoben ist.

3. Umfang

Im Scope:

• Die Escrow-Factory-Verträge und ihre Escrow-Implementierungen aus Abschnitt 6, auf jeder Chain, auf der sie eingesetzt sind.
• Die Freigabeschicht: jeder Weg, einen geschützten Escrow-Aufruf ohne die erforderliche Zahl unabhängiger Approver-Signaturen erfolgreich auszuführen oder Approver dazu zu bringen, einen schädlichen Aufruf zu signieren.
• Die öffentliche API und das Backend (Subdomains api und walletlessapi von instaswap.com), wenn die Auswirkung Gelder betrifft: Auszahlungen an den falschen Empfänger, Umgehung von Gebühren, Doppelzahlung, Rückerstattungen an die falsche Adresse oder Manipulation einer Quote, die bei der Ausführung zu einem Verlust führt.
• instaswap.com, das Partnerportal und der Explorer: Umgehung der Authentifizierung, Kontoübernahme, Offenlegung von Daten anderer Nutzer.

Außerhalb des Scope (nicht vergütet):

• Denial of Service, Rate Limiting, Spam und alles, was übermäßigen Traffic erfordert.
• Phishing, Social Engineering, physische Angriffe sowie Probleme in Drittanbieter-Venues, Bridges, Netzwerken oder Wallets, über die InstaSwap routet oder die es integriert.
• Designentscheidungen, die in Abschnitt 7 dokumentiert sind, einschließlich der Rollen des Owner-Schlüssels und des Operator-Schlüssels.
• Stillgelegte Vertragsgenerationen, Testnetze, Best-Practice-Empfehlungen ohne nachgewiesene Auswirkung, Self-XSS, fehlende Security-Header und Funde automatischer Scanner ohne funktionierenden Proof of Concept.

4. Schweregrad und Prämien

Den Schweregrad legt InstaSwap anhand der nachgewiesenen Auswirkung und der Wahrscheinlichkeit einer Ausnutzung fest. Beträge in USD, ausgezahlt in USDC oder USDT auf einer unterstützten Chain Ihrer Wahl.

5. Zahlungsbedingungen

• Die erste gültige Meldung eines Problems wird vergütet. Duplikate und uns bereits bekannte Probleme nicht.
• Prämien werden innerhalb von 14 Tagen nach Bestätigung des Fixes gezahlt. Bei Prämien über 2.000 USD bitten wir vor der Zahlung um eine Identitätsprüfung; an sanktionierte Personen oder Organisationen können wir nicht zahlen.
• Mehrere Meldungen mit derselben Ursache zählen als ein Problem.
• InstaSwap kann dieses Programm jederzeit pausieren oder ändern. Jede Pause wird auf dieser Seite angekündigt; vor der Pause eingegangene Meldungen werden zu den damals geltenden Bedingungen behandelt.

6. Geprüfte Verträge im Scope

Die aktuelle Escrow-Generation wurde von Hashlock geprüft (Bericht wird veröffentlicht). Der Quellcode ist auf jedem Block-Explorer verifiziert und im Audit-Repository veröffentlicht. Jede Factory unten erstellt pro Auftrag einen minimalen Escrow aus der angegebenen Implementierung.

Audit-Repository: github.com/Instaswap-Labs/instaswap-escrow-audit

7. Bekannte Designentscheidungen

Folgendes ist beabsichtigt und dokumentiert und wird für sich allein nicht vergütet. Meldungen, die zeigen, wie einer dieser Punkte über seinen Zweck hinaus missbraucht werden kann, sind willkommen.

• Jede Factory hat einen Owner-Schlüssel auf einer Hardware-Wallet. Änderungen, die die Sicherheit lockern (Approver-Set, Treasury, Operator), wirken erst nach einer öffentlichen Verzögerung von 48 Stunden; die einzige sofortige Owner-Aktion ist das Pausieren.
• Routinemäßige Escrow-Aufrufe sendet ein Operator-Schlüssel, aber jeder geldbewegende Aufruf muss Signaturen von 3 der 4 unabhängigen Approver-Signer tragen, die den Auftrag vor dem Signieren erneut mit unseren Aufzeichnungen abgleichen.
• Jeder Escrow legt die Rückerstattungsadresse des Nutzers bei der Erstellung fest. Nach Ablauf des Rückerstattungs-Timeouts kann jeder die Rückerstattung an diese Adresse auslösen, sodass Gelder nie hinter InstaSwap feststecken können.
• Swaps werden auf Liquiditäts-Venues und Netzwerken Dritter ausgeführt. Deren Verfügbarkeit, Preise und Slippage liegen außerhalb dieses Programms.

8. Regeln und Safe Harbour

• Testen Sie nur mit eigenen Aufträgen und Geldern. Greifen Sie nicht auf Daten anderer Nutzer zu, verändern oder löschen Sie diese nicht und beeinträchtigen Sie den Dienst nicht.
• Zeigen Sie On-Chain-Probleme auf einer geforkten Chain oder mit minimalen Beträgen. Nutzen Sie ein Problem niemals im Mainnet gegen echte Nutzergelder aus.
• Geben Sie uns mindestens 90 Tage für die Behebung und veröffentlichen Sie keine Details, bevor wir den Fix bestätigen. Auf Wunsch nennen wir Sie nach der Behebung gern öffentlich.
• Forschung, die diese Regeln einhält, ist autorisiert. Wir werden gegen gutgläubige Forscher keine rechtlichen Schritte einleiten und sie wegen ihrer Forschung nicht bei Behörden melden.

Sicherheitsmeldungen und Fragen zu diesem Programm: support@instaswap.com