セキュリティとバグバウンティ

InstaSwapは、Hashlockによる監査を受け（報告書は公開予定）、独立した承認署名者によって保護されたプログラム型エスクロー契約を通じてユーザー資金を移動します。それでも、私たちは自分たちが間違える可能性を前提にしています。資金を盗む、凍結する、誤送金させる方法、またはアカウントを乗っ取る方法を見つけた場合は、まず私たちに知らせてください。報奨金をお支払いします。

1. 報告方法

件名を「Security report」として、下記のアドレスに詳細をメールしてください。影響を受けるコンポーネント、該当する場合はチェーンとコントラクトアドレス、再現手順、概念実証（フォークしたチェーンでのテスト、リクエストのトレース、短いスクリプトなど）を含めてください。暗号化された連絡手段が必要な場合は、最初のメールでその旨をお知らせください。詳細を送る前に準備します。

報告先: support@instaswap.com

2. 私たちの対応

すべての報告に2営業日以内に受領を確認し、7日以内に最初の深刻度評価をお伝えします。重大な問題は直ちに緩和し（修正を準備する間、入金を一時停止し、保管資金を返金に回すことができます）、修正は監査人による再テストを経てからクローズします。各段階で状況をお知らせし、解決時には最終的なまとめをお送りします。

3. 対象範囲

対象:

• 第6節に記載のエスクローファクトリー契約とそのエスクロー実装。デプロイされているすべてのチェーンが対象です。
• 承認レイヤー: 必要数の独立した承認者署名なしに保護されたエスクロー呼び出しを成功させる方法、または承認者に有害な呼び出しへ署名させる方法。
• 公開APIとバックエンド（instaswap.comのapiおよびwalletlessapiサブドメイン）のうち、資金に影響するもの: 誤った受取人への支払い、手数料の回避、二重支払い、誤ったアドレスへの返金、実行時に損失をもたらす見積もりの操作。
• instaswap.com、パートナーポータル、エクスプローラー: 認証の回避、アカウント乗っ取り、他のユーザーのデータの露出。

対象外（報奨なし）:

• サービス拒否、レート制限、スパム、過剰なトラフィックを要するもの。
• フィッシング、ソーシャルエンジニアリング、物理攻撃、およびInstaSwapが経由または統合するサードパーティの取引所、ブリッジ、ネットワーク、ウォレットの問題。
• 第7節に記載の設計上の決定（オーナー鍵とオペレーター鍵の役割を含む）。
• 廃止された契約世代、テストネット、影響が実証されていないベストプラクティスの推奨、self-XSS、セキュリティヘッダーの欠如、動作する概念実証のない自動スキャナーの結果。

4. 深刻度と報奨金

深刻度は、実証された影響と悪用の可能性に基づいてInstaSwapが判断します。金額はUSD建てで、ご希望の対応チェーン上のUSDCまたはUSDTでお支払いします。

5. 支払い条件

• 問題について最初の有効な報告に報奨金を支払います。重複や既知の問題は対象外です。
• 報奨金は修正確認後14日以内に支払います。2,000 USDを超える報奨金については支払い前に本人確認をお願いします。制裁対象の個人や団体にはお支払いできません。
• 同じ根本原因を共有する複数の報告は1件として扱います。
• InstaSwapはいつでも本プログラムを一時停止または変更できます。一時停止はこのページで告知し、停止前に受領した報告は送信時の条件に従って対応します。

6. 対象の監査済み契約

現行のエスクロー世代はHashlockの監査を受けています（報告書は公開予定）。ソースコードは各ブロックエクスプローラーで検証済みで、監査リポジトリに公開されています。以下の各ファクトリーは、記載の実装から注文ごとに最小限のエスクローを1つデプロイします。

監査リポジトリ: github.com/Instaswap-Labs/instaswap-escrow-audit

7. 既知の設計上の決定

以下は意図的かつ文書化されたものであり、それ自体は報奨の対象になりません。これらが意図を超えて悪用できることを示す報告は歓迎します。

• 各ファクトリーにはハードウェアウォレットで保管された1つのオーナー鍵があります。セキュリティを緩める変更（承認者セット、トレジャリー、オペレーター）は48時間の公開遅延の後にのみ有効になります。オーナーが即時に行える唯一の操作は一時停止です。
• 日常的なエスクロー呼び出しはオペレーター鍵が送信しますが、資金を移動するすべての呼び出しには、署名前に注文を私たちの記録と再照合する4人の独立した承認署名者のうち3人の署名が必要です。
• 各エスクローは作成時にユーザーの返金アドレスを確定します。返金タイムアウト後は誰でもそのアドレスへの返金を実行できるため、資金がInstaSwapの背後で固定されることはありません。
• スワップはサードパーティの流動性取引所とネットワークで実行されます。それらの可用性、価格、スリッページは本プログラムの対象外です。

8. ルールとセーフハーバー

• テストはご自身の注文と資金に限ってください。他のユーザーのデータへのアクセス、変更、削除を行わず、サービスを劣化させないでください。
• オンチェーンの問題はフォークしたチェーンまたは最小限の金額で実証してください。メインネット上で実際のユーザー資金に対して問題を悪用しないでください。
• 修正に少なくとも90日の猶予を与え、修正を確認するまで詳細を公開しないでください。ご希望があれば解決後に公開でクレジットを記載します。
• これらのルールに従う調査は許可されます。善意の研究者に対して法的措置を取ることはなく、その調査を理由に当局へ通報することもありません。

セキュリティ報告と本プログラムに関するお問い合わせ: support@instaswap.com