Sicurezza e bug bounty

InstaSwap trasferisce i fondi degli utenti tramite contratti di escrow programmatici sottoposti ad audit da Hashlock (rapporto in via di pubblicazione) e protetti da firmatari approvatori indipendenti. Partiamo comunque dal presupposto che possiamo sbagliare. Se trovate un modo per rubare, bloccare o deviare fondi, o per prendere il controllo di un account, vogliamo saperlo per primi e vi pagheremo per questo.

1. Come segnalare

Inviate i dettagli via e-mail all'indirizzo qui sotto con oggetto "Security report". Indicate il componente interessato, la chain e l'indirizzo del contratto se pertinenti, i passaggi per riprodurre il problema e una proof of concept (un test su una chain forkata, una traccia delle richieste o un breve script). Se vi serve un canale cifrato, chiedetelo nella prima e-mail e lo predisporremo prima che inviiate i dettagli.

Segnalare a: support@instaswap.com

2. Cosa aspettarsi da noi

Confermiamo la ricezione di ogni segnalazione entro 2 giorni lavorativi e forniamo una prima valutazione di gravità entro 7 giorni. I problemi critici vengono mitigati immediatamente (i depositi possono essere sospesi e la custodia convertita in rimborsi mentre si prepara una correzione) e la correzione viene ritestata dai nostri auditor prima della chiusura. Ricevete un aggiornamento a ogni passaggio e un riepilogo finale quando il problema è risolto.

3. Ambito

In ambito:

• I contratti factory di escrow e le relative implementazioni di escrow elencati nella sezione 6, su ogni chain in cui sono distribuiti.
• Il livello di approvazione: qualsiasi modo per far riuscire una chiamata protetta dell'escrow senza il numero richiesto di firme di approvatori indipendenti, o per indurre gli approvatori a firmare una chiamata dannosa.
• L'API pubblica e il backend (sottodomini api e walletlessapi di instaswap.com) quando l'impatto riguarda i fondi: pagamenti al destinatario sbagliato, elusione delle commissioni, doppio pagamento, rimborsi all'indirizzo sbagliato o manipolazione di un preventivo che causa una perdita in esecuzione.
• instaswap.com, il portale partner e l'explorer: aggiramento dell'autenticazione, presa di controllo dell'account, esposizione dei dati di altri utenti.

Fuori ambito (non ricompensato):

• Denial of service, rate limiting, spam e tutto ciò che richiede traffico eccessivo.
• Phishing, ingegneria sociale, attacchi fisici e problemi in venue, bridge, reti o wallet di terze parti attraverso cui InstaSwap instrada o che integra.
• Scelte di progettazione documentate nella sezione 7, inclusi i ruoli della chiave owner e della chiave operator.
• Generazioni di contratti ritirate, reti di test, raccomandazioni di best practice senza impatto dimostrato, self-XSS, header di sicurezza mancanti e risultati di scanner automatici senza una proof of concept funzionante.

4. Gravità e ricompense

La gravità è decisa da InstaSwap in base all'impatto dimostrato e alla probabilità di sfruttamento. Gli importi sono in USD e vengono pagati in USDC o USDT su una chain supportata a vostra scelta.

5. Condizioni di pagamento

• Viene ricompensata la prima segnalazione valida di un problema. I duplicati e i problemi già a noi noti non lo sono.
• Le ricompense vengono pagate entro 14 giorni dalla conferma della correzione. Per ricompense superiori a 2.000 USD chiediamo una verifica dell'identità prima del pagamento, e non possiamo pagare persone o entità soggette a sanzioni.
• Più segnalazioni con la stessa causa principale contano come un unico problema.
• InstaSwap può sospendere o modificare questo programma in qualsiasi momento. Ogni sospensione viene annunciata su questa pagina e le segnalazioni ricevute prima della sospensione vengono onorate alle condizioni in vigore al momento dell'invio.

6. Contratti sottoposti ad audit in ambito

L'attuale generazione di escrow è stata sottoposta ad audit da Hashlock (rapporto in via di pubblicazione). Il codice sorgente è verificato su ogni block explorer e pubblicato nel repository dell'audit. Ogni factory qui sotto distribuisce un escrow minimale per ordine a partire dall'implementazione indicata.

Repository dell'audit: github.com/Instaswap-Labs/instaswap-escrow-audit

7. Scelte di progettazione note

Quanto segue è intenzionale e documentato e non viene ricompensato di per sé. Sono benvenute le segnalazioni che mostrano come uno di questi punti possa essere abusato oltre il suo scopo.

• Ogni factory ha una chiave owner custodita su un hardware wallet. Le modifiche che allentano la sicurezza (insieme degli approvatori, tesoreria, operator) hanno effetto solo dopo un ritardo pubblico di 48 ore; l'unica azione immediata dell'owner è la messa in pausa.
• Le chiamate di routine all'escrow sono inviate da una chiave operator, ma ogni chiamata che sposta fondi deve portare le firme di 3 dei 4 firmatari approvatori indipendenti, che ricontrollano l'ordine con i nostri registri prima di firmare.
• Ogni escrow fissa l'indirizzo di rimborso dell'utente alla creazione. Scaduto il timeout di rimborso, chiunque può attivare il rimborso verso quell'indirizzo, quindi i fondi non possono mai restare bloccati dietro InstaSwap.
• Gli swap vengono eseguiti su venue di liquidità e reti di terze parti. La loro disponibilità, i prezzi e lo slippage sono fuori da questo programma.

8. Regole e safe harbour

• Testate solo con i vostri ordini e fondi. Non accedete, modificate o cancellate dati di altri utenti e non degradate il servizio.
• Dimostrate i problemi on-chain su una chain forkata o con importi minimi. Non sfruttate mai un problema su mainnet contro fondi reali degli utenti.
• Concedeteci almeno 90 giorni per correggere il problema e non pubblicate dettagli prima che confermiamo la correzione. Se lo desiderate, vi daremo credito pubblicamente a problema risolto.
• La ricerca che rispetta queste regole è autorizzata. Non intraprenderemo azioni legali contro ricercatori in buona fede e non li segnaleremo alle autorità per la loro ricerca.

Segnalazioni di sicurezza e domande su questo programma: support@instaswap.com