Beveiliging en bug bounty

InstaSwap verplaatst gebruikersgelden via programmatische escrow-contracten die door Hashlock zijn geauditeerd (rapport wordt gepubliceerd) en worden bewaakt door onafhankelijke goedkeurende ondertekenaars. Toch gaan we ervan uit dat we fouten kunnen maken. Vindt u een manier om gelden te stelen, te bevriezen of verkeerd te routeren, of om een account over te nemen, dan willen wij het als eerste horen en betalen we ervoor.

1. Hoe te melden

E-mail de details naar het onderstaande adres met als onderwerp "Security report". Vermeld het betrokken onderdeel, waar relevant de chain en het contractadres, stap voor stap de reproductie en een proof of concept (een test op een geforkte chain, een request-trace of een kort script). Hebt u een versleuteld kanaal nodig, vraag daar dan om in uw eerste e-mail; we zetten het op voordat u details stuurt.

Melden aan: support@instaswap.com

2. Wat u van ons kunt verwachten

We bevestigen elke melding binnen 2 werkdagen en geven binnen 7 dagen een eerste inschatting van de ernst. Kritieke problemen worden onmiddellijk beperkt (stortingen kunnen worden gepauzeerd en bewaarde gelden omgezet in terugbetalingen terwijl een fix wordt voorbereid) en de fix wordt door onze auditors opnieuw getest voordat het probleem wordt gesloten. U krijgt bij elke stap een statusupdate en een eindsamenvatting zodra het probleem is opgelost.

3. Scope

Binnen de scope:

• De escrow-factorycontracten en hun escrow-implementaties uit sectie 6, op elke chain waar ze zijn uitgerold.
• De goedkeuringslaag: elke manier om een beschermde escrow-aanroep te laten slagen zonder het vereiste aantal onafhankelijke goedkeuringshandtekeningen, of om goedkeurders een schadelijke aanroep te laten ondertekenen.
• De publieke API en backend (subdomeinen api en walletlessapi van instaswap.com) wanneer de impact gelden raakt: uitbetalingen aan de verkeerde ontvanger, omzeilen van kosten, dubbele betaling, terugbetalingen naar het verkeerde adres, of manipulatie van een offerte die bij uitvoering tot verlies leidt.
• instaswap.com, het partnerportaal en de explorer: omzeilen van authenticatie, accountovername, blootstelling van gegevens van andere gebruikers.

Buiten de scope (niet beloond):

• Denial of service, rate limiting, spam en alles wat buitensporig verkeer vereist.
• Phishing, social engineering, fysieke aanvallen en problemen in venues, bridges, netwerken of wallets van derden waar InstaSwap doorheen routeert of mee integreert.
• Ontwerpkeuzes die in sectie 7 zijn gedocumenteerd, inclusief de rollen van de eigenaarsleutel en de operatorsleutel.
• Uitgefaseerde contractgeneraties, testnetwerken, best-practice-aanbevelingen zonder aangetoonde impact, self-XSS, ontbrekende security headers en bevindingen van automatische scanners zonder werkende proof of concept.

4. Ernst en beloningen

De ernst wordt door InstaSwap bepaald op basis van de aangetoonde impact en de kans op misbruik. Bedragen zijn in USD en worden betaald in USDC of USDT op een ondersteunde chain naar keuze.

5. Betalingsvoorwaarden

• De eerste geldige melding van een probleem wordt beloond. Duplicaten en problemen die al bij ons bekend zijn niet.
• Beloningen worden binnen 14 dagen na bevestiging van de fix betaald. Voor beloningen boven 2.000 USD vragen we identiteitsverificatie vóór betaling, en we kunnen niet betalen aan personen of entiteiten onder sancties.
• Meerdere meldingen met dezelfde oorzaak tellen als één probleem.
• InstaSwap kan dit programma op elk moment pauzeren of wijzigen. Elke pauze wordt op deze pagina aangekondigd en meldingen die vóór de pauze zijn ontvangen worden afgehandeld volgens de voorwaarden die golden bij verzending.

6. Geauditeerde contracten binnen de scope

De huidige escrow-generatie is geauditeerd door Hashlock (rapport wordt gepubliceerd). De broncode is geverifieerd op elke block explorer en gepubliceerd in de auditrepository. Elke factory hieronder rolt per order één minimale escrow uit vanuit de getoonde implementatie.

Auditrepository: github.com/Instaswap-Labs/instaswap-escrow-audit

7. Bekende ontwerpkeuzes

Het volgende is bewust en gedocumenteerd en wordt op zichzelf niet beloond. Meldingen die laten zien hoe een van deze punten verder dan de bedoeling kan worden misbruikt, zijn welkom.

• Elke factory heeft één eigenaarsleutel op een hardware wallet. Wijzigingen die de beveiliging versoepelen (set goedkeurders, treasury, operator) gaan pas in na een publieke vertraging van 48 uur; de enige directe actie van de eigenaar is pauzeren.
• Routinematige escrow-aanroepen worden door een operatorsleutel verzonden, maar elke aanroep die gelden verplaatst moet handtekeningen dragen van 3 van de 4 onafhankelijke goedkeurende ondertekenaars, die de order vóór ondertekening opnieuw tegen onze administratie controleren.
• Elke escrow legt bij aanmaak het terugbetaaladres van de gebruiker vast. Na de terugbetaaltermijn kan iedereen de terugbetaling naar dat adres activeren, zodat gelden nooit achter InstaSwap vast kunnen zitten.
• Swaps worden uitgevoerd op liquiditeitsvenues en netwerken van derden. Hun beschikbaarheid, prijzen en slippage vallen buiten dit programma.

8. Regels en safe harbour

• Test alleen met uw eigen orders en gelden. Benader, wijzig of verwijder geen gegevens van andere gebruikers en verslechter de dienst niet.
• Toon on-chain problemen aan op een geforkte chain of met minimale bedragen. Misbruik een probleem nooit op mainnet tegen echte gebruikersgelden.
• Geef ons minimaal 90 dagen om het probleem op te lossen en publiceer geen details voordat wij de fix bevestigen. Desgewenst noemen we u publiekelijk zodra het is opgelost.
• Onderzoek dat deze regels volgt is toegestaan. We ondernemen geen juridische stappen tegen onderzoekers te goeder trouw en melden hen niet bij autoriteiten vanwege hun onderzoek.

Beveiligingsmeldingen en vragen over dit programma: support@instaswap.com