Seguridad y recompensas por errores

InstaSwap mueve los fondos de los usuarios a través de contratos de escrow programáticos que han sido auditados por Hashlock (informe pendiente de publicación) y están protegidos por firmantes aprobadores independientes. Aun así, asumimos que podemos equivocarnos. Si encuentra una forma de robar, congelar o desviar fondos, o de tomar el control de una cuenta, queremos saberlo primero y pagaremos por ello.

1. Cómo informar

Envíe los detalles por correo a la dirección indicada abajo con el asunto "Security report". Incluya el componente afectado, la cadena y la dirección del contrato cuando corresponda, los pasos de reproducción y una prueba de concepto (una prueba en una cadena bifurcada, una traza de peticiones o un script breve). Si necesita un canal cifrado, pídalo en su primer correo y lo prepararemos antes de que envíe los detalles.

Informar a: support@instaswap.com

2. Qué puede esperar de nosotros

Acusamos recibo de cada informe en un plazo de 2 días hábiles y damos una primera evaluación de gravedad en 7 días. Los problemas críticos se mitigan de inmediato (los depósitos pueden pausarse y la custodia convertirse en reembolsos mientras se prepara una corrección) y nuestros auditores vuelven a probar la corrección antes de cerrar el problema. Recibirá una actualización de estado en cada paso y un resumen final cuando el problema quede resuelto.

3. Alcance

Dentro del alcance:

• Los contratos de fábrica de escrow y sus implementaciones de escrow listados en la sección 6, en todas las cadenas donde están desplegados.
• La capa de aprobación: cualquier forma de hacer que una llamada protegida del escrow tenga éxito sin el número requerido de firmas de aprobadores independientes, o de conseguir que los aprobadores firmen una llamada dañina.
• La API pública y el backend (subdominios api y walletlessapi de instaswap.com) cuando el impacto afecta a fondos: pagos al destinatario equivocado, evasión de comisiones, doble pago, reembolsos a la dirección equivocada o manipulación de una cotización que provoque una pérdida en la ejecución.
• instaswap.com, el portal de socios y el explorador: evasión de la autenticación, toma de control de cuentas, exposición de datos de otros usuarios.

Fuera del alcance (sin recompensa):

• Denegación de servicio, limitación de tasa, spam y cualquier cosa que requiera tráfico excesivo.
• Phishing, ingeniería social, ataques físicos y problemas en venues, bridges, redes o wallets de terceros a través de los cuales InstaSwap enruta o con los que se integra.
• Decisiones de diseño documentadas en la sección 7, incluidos los roles de la clave del propietario y la clave del operador.
• Generaciones de contratos retiradas, redes de prueba, recomendaciones de buenas prácticas sin impacto demostrado, self-XSS, cabeceras de seguridad ausentes y hallazgos de escáneres automáticos sin una prueba de concepto funcional.

4. Gravedad y recompensas

InstaSwap decide la gravedad a partir del impacto demostrado y la probabilidad de explotación. Los importes están en USD y se pagan en USDC o USDT en una cadena compatible de su elección.

5. Condiciones de pago

• Se recompensa el primer informe válido de un problema. Los duplicados y los problemas que ya conocemos no se recompensan.
• Las recompensas se pagan en un plazo de 14 días tras confirmarse la corrección. Para recompensas superiores a 2.000 USD pedimos verificación de identidad antes del pago, y no podemos pagar a personas o entidades sancionadas.
• Varios informes que comparten una misma causa raíz cuentan como un solo problema.
• InstaSwap puede pausar o modificar este programa en cualquier momento. Toda pausa se anuncia en esta página y los informes recibidos antes de la pausa se atienden según las condiciones vigentes cuando se enviaron.

6. Contratos auditados dentro del alcance

La generación actual de escrow fue auditada por Hashlock (informe pendiente de publicación). El código fuente está verificado en cada explorador de bloques y publicado en el repositorio de auditoría. Cada fábrica de la lista despliega un escrow mínimo por orden a partir de la implementación indicada.

Repositorio de auditoría: github.com/Instaswap-Labs/instaswap-escrow-audit

7. Decisiones de diseño conocidas

Lo siguiente es intencionado y está documentado, y no se recompensa por sí solo. Son bienvenidos los informes que muestren cómo abusar de alguno de estos puntos más allá de su propósito.

• Cada fábrica tiene una clave de propietario guardada en una billetera de hardware. Los cambios que relajan la seguridad (conjunto de aprobadores, tesorería, operador) solo surten efecto tras un retraso público de 48 horas; la única acción inmediata del propietario es pausar.
• Las llamadas rutinarias al escrow las envía una clave de operador, pero toda llamada que mueve fondos debe llevar firmas de 3 de los 4 firmantes aprobadores independientes, que vuelven a comprobar la orden contra nuestros registros antes de firmar.
• Cada escrow fija la dirección de reembolso del usuario al crearse. Pasado el plazo de reembolso, cualquiera puede activar el reembolso a esa dirección, de modo que los fondos nunca pueden quedar atrapados detrás de InstaSwap.
• Los swaps se ejecutan en venues de liquidez y redes de terceros. Su disponibilidad, precios y slippage quedan fuera de este programa.

8. Reglas y puerto seguro

• Pruebe solo con sus propias órdenes y fondos. No acceda, modifique ni elimine datos de otros usuarios y no degrade el servicio.
• Demuestre los problemas on-chain en una cadena bifurcada o con importes mínimos. Nunca explote un problema en mainnet contra fondos reales de usuarios.
• Concédanos al menos 90 días para corregir el problema y no publique detalles antes de que confirmemos la corrección. Si lo desea, le daremos crédito públicamente cuando esté resuelto.
• La investigación que respeta estas reglas está autorizada. No emprenderemos acciones legales contra investigadores de buena fe ni los denunciaremos ante las autoridades por su investigación.

Informes de seguridad y preguntas sobre este programa: support@instaswap.com