Sécurité et bug bounty

InstaSwap fait transiter les fonds des utilisateurs par des contrats d'escrow programmatiques audités par Hashlock (rapport à publier) et protégés par des signataires approbateurs indépendants. Nous partons malgré tout du principe que nous pouvons nous tromper. Si vous trouvez un moyen de voler, geler ou détourner des fonds, ou de prendre le contrôle d'un compte, nous voulons l'apprendre en premier et nous vous paierons pour cela.

1. Comment signaler

Envoyez les détails par e-mail à l'adresse ci-dessous avec l'objet "Security report". Indiquez le composant concerné, la chaîne et l'adresse du contrat le cas échéant, les étapes de reproduction et une preuve de concept (un test sur une chaîne forkée, une trace de requêtes ou un court script). Si vous avez besoin d'un canal chiffré, demandez-le dans votre premier e-mail et nous le mettrons en place avant que vous n'envoyiez les détails.

Signaler à : support@instaswap.com

2. Ce que vous pouvez attendre de nous

Nous accusons réception de chaque signalement sous 2 jours ouvrés et donnons une première évaluation de gravité sous 7 jours. Les problèmes critiques sont atténués immédiatement (les dépôts peuvent être suspendus et la garde convertie en remboursements pendant la préparation d'un correctif) et le correctif est retesté par nos auditeurs avant la clôture. Vous recevez une mise à jour à chaque étape et un résumé final une fois le problème résolu.

3. Périmètre

Dans le périmètre :

• Les contrats factory d'escrow et leurs implémentations d'escrow listés à la section 6, sur chaque chaîne où ils sont déployés.
• La couche d'approbation : tout moyen de faire aboutir un appel d'escrow protégé sans le nombre requis de signatures d'approbateurs indépendants, ou d'amener les approbateurs à signer un appel nuisible.
• L'API publique et le backend (sous-domaines api et walletlessapi de instaswap.com) lorsque l'impact touche des fonds : paiements au mauvais destinataire, contournement des frais, double paiement, remboursements à la mauvaise adresse ou manipulation d'un devis entraînant une perte à l'exécution.
• instaswap.com, le portail partenaires et l'explorateur : contournement de l'authentification, prise de contrôle de compte, exposition des données d'autres utilisateurs.

Hors périmètre (non récompensé) :

• Déni de service, limitation de débit, spam et tout ce qui nécessite un trafic excessif.
• Phishing, ingénierie sociale, attaques physiques et problèmes dans les venues, bridges, réseaux ou wallets tiers par lesquels InstaSwap route ou qu'il intègre.
• Les choix de conception documentés à la section 7, y compris les rôles de la clé propriétaire et de la clé opérateur.
• Les générations de contrats retirées, les réseaux de test, les recommandations de bonnes pratiques sans impact démontré, le self-XSS, les en-têtes de sécurité manquants et les résultats de scanners automatiques sans preuve de concept fonctionnelle.

4. Gravité et récompenses

La gravité est déterminée par InstaSwap à partir de l'impact démontré et de la probabilité d'exploitation. Les montants sont en USD et payés en USDC ou USDT sur une chaîne prise en charge de votre choix.

5. Conditions de paiement

• Le premier signalement valide d'un problème est récompensé. Les doublons et les problèmes déjà connus de nous ne le sont pas.
• Les récompenses sont payées sous 14 jours après confirmation du correctif. Pour les récompenses supérieures à 2 000 USD, nous demandons une vérification d'identité avant paiement, et nous ne pouvons pas payer des personnes ou entités sous sanctions.
• Plusieurs signalements partageant une même cause racine comptent pour un seul problème.
• InstaSwap peut suspendre ou modifier ce programme à tout moment. Toute suspension est annoncée sur cette page et les signalements reçus avant la suspension sont honorés selon les conditions en vigueur au moment de l'envoi.

6. Contrats audités dans le périmètre

La génération actuelle d'escrow a été auditée par Hashlock (rapport à publier). Le code source est vérifié sur chaque explorateur de blocs et publié dans le dépôt d'audit. Chaque factory ci-dessous déploie un escrow minimal par ordre à partir de l'implémentation indiquée.

Dépôt d'audit : github.com/Instaswap-Labs/instaswap-escrow-audit

7. Choix de conception connus

Les points suivants sont intentionnels et documentés, et ne sont pas récompensés en tant que tels. Les signalements montrant comment l'un d'eux peut être détourné au-delà de son intention sont les bienvenus.

• Chaque factory a une clé propriétaire détenue sur un portefeuille matériel. Les changements qui assouplissent la sécurité (ensemble d'approbateurs, trésorerie, opérateur) ne prennent effet qu'après un délai public de 48 heures ; la seule action immédiate du propriétaire est la mise en pause.
• Les appels d'escrow de routine sont envoyés par une clé opérateur, mais chaque appel qui déplace des fonds doit porter les signatures de 3 des 4 signataires approbateurs indépendants, qui revérifient l'ordre avec nos enregistrements avant de signer.
• Chaque escrow fixe l'adresse de remboursement de l'utilisateur à sa création. Après le délai de remboursement, n'importe qui peut déclencher le remboursement vers cette adresse, de sorte que les fonds ne peuvent jamais rester bloqués derrière InstaSwap.
• Les swaps s'exécutent sur des venues de liquidité et des réseaux tiers. Leur disponibilité, leurs prix et leur slippage sont hors de ce programme.

8. Règles et safe harbour

• Testez uniquement avec vos propres ordres et fonds. N'accédez pas aux données d'autres utilisateurs, ne les modifiez pas et ne les supprimez pas, et ne dégradez pas le service.
• Démontrez les problèmes on-chain sur une chaîne forkée ou avec des montants minimes. N'exploitez jamais un problème sur le mainnet contre des fonds réels d'utilisateurs.
• Accordez-nous au moins 90 jours pour corriger le problème et ne publiez aucun détail avant que nous ayons confirmé le correctif. Si vous le souhaitez, nous vous créditerons publiquement une fois le problème résolu.
• La recherche respectant ces règles est autorisée. Nous n'engagerons aucune action en justice contre les chercheurs de bonne foi et ne les signalerons pas aux autorités pour leurs recherches.

Signalements de sécurité et questions sur ce programme : support@instaswap.com