Безопасность и bug bounty

InstaSwap перемещает средства пользователей через программные escrow-контракты, прошедшие аудит Hashlock (отчёт будет опубликован) и защищённые независимыми подписантами-апрувером. Тем не менее мы исходим из того, что можем ошибаться. Если вы нашли способ украсть, заморозить или перенаправить средства либо захватить аккаунт, мы хотим узнать об этом первыми и заплатим за это.

1. Как сообщить

Отправьте детали на адрес ниже с темой "Security report". Укажите затронутый компонент, при необходимости сеть и адрес контракта, пошаговое воспроизведение и proof of concept (тест на форке сети, трассировку запросов или короткий скрипт). Если вам нужен зашифрованный канал, попросите об этом в первом письме, и мы настроим его до отправки деталей.

Сообщать на: support@instaswap.com

2. Чего ожидать от нас

Мы подтверждаем получение каждого сообщения в течение 2 рабочих дней и даём первую оценку серьёзности в течение 7 дней. Критические проблемы устраняются немедленно (депозиты могут быть приостановлены, а средства на хранении переведены в возвраты, пока готовится исправление), и исправление повторно проверяется нашими аудиторами до закрытия проблемы. Вы получаете обновление статуса на каждом шаге и итоговое резюме после устранения проблемы.

3. Охват

В охвате:

• Контракты-фабрики escrow и их реализации escrow, перечисленные в разделе 6, во всех сетях, где они развёрнуты.
• Уровень одобрения: любой способ выполнить защищённый вызов escrow без требуемого числа подписей независимых апруверов или заставить апруверов подписать вредоносный вызов.
• Публичный API и бэкенд (поддомены api и walletlessapi на instaswap.com), если последствия касаются средств: выплаты не тому получателю, обход комиссий, двойная выплата, возвраты на неверный адрес или манипуляция котировкой, приводящая к убытку при исполнении.
• instaswap.com, партнёрский портал и эксплорер: обход аутентификации, захват аккаунта, раскрытие данных других пользователей.

Вне охвата (не вознаграждается):

• Отказ в обслуживании, ограничение частоты запросов, спам и всё, что требует чрезмерного трафика.
• Фишинг, социальная инженерия, физические атаки и проблемы в сторонних площадках, мостах, сетях или кошельках, через которые InstaSwap маршрутизирует или с которыми интегрируется.
• Проектные решения, описанные в разделе 7, включая роли ключа владельца и ключа оператора.
• Выведенные из эксплуатации поколения контрактов, тестовые сети, рекомендации по лучшим практикам без доказанного воздействия, self-XSS, отсутствующие заголовки безопасности и результаты автоматических сканеров без рабочего proof of concept.

4. Серьёзность и вознаграждения

Серьёзность определяет InstaSwap исходя из доказанного воздействия и вероятности эксплуатации. Суммы указаны в USD и выплачиваются в USDC или USDT в поддерживаемой сети по вашему выбору.

5. Условия выплаты

• Вознаграждается первое действительное сообщение о проблеме. Дубликаты и уже известные нам проблемы не вознаграждаются.
• Вознаграждения выплачиваются в течение 14 дней после подтверждения исправления. Для вознаграждений свыше 2 000 USD мы просим пройти проверку личности до выплаты и не можем платить лицам или организациям под санкциями.
• Несколько сообщений с одной первопричиной считаются одной проблемой.
• InstaSwap может приостановить или изменить программу в любой момент. Любая приостановка объявляется на этой странице, а сообщения, полученные до приостановки, рассматриваются на условиях, действовавших на момент отправки.

6. Прошедшие аудит контракты в охвате

Текущее поколение escrow прошло аудит Hashlock (отчёт будет опубликован). Исходный код верифицирован в каждом блокчейн-эксплорере и опубликован в репозитории аудита. Каждая фабрика ниже разворачивает один минимальный escrow на заказ из указанной реализации.

Репозиторий аудита: github.com/Instaswap-Labs/instaswap-escrow-audit

7. Известные проектные решения

Перечисленное ниже сделано намеренно и задокументировано и само по себе не вознаграждается. Сообщения о том, как одно из этих решений можно использовать не по назначению, приветствуются.

• У каждой фабрики один ключ владельца на аппаратном кошельке. Изменения, ослабляющие безопасность (набор апруверов, казначейство, оператор), вступают в силу только после публичной задержки в 48 часов; единственное мгновенное действие владельца: приостановка.
• Рутинные вызовы escrow отправляет ключ оператора, но каждый вызов, перемещающий средства, должен содержать подписи 3 из 4 независимых подписантов-апруверов, которые перед подписанием повторно сверяют заказ с нашими записями.
• Каждый escrow фиксирует адрес возврата пользователя при создании. По истечении таймаута возврата любой может инициировать возврат на этот адрес, поэтому средства никогда не застрянут за InstaSwap.
• Свопы исполняются на сторонних площадках ликвидности и в сторонних сетях. Их доступность, цены и проскальзывание вне этой программы.

8. Правила и safe harbour

• Тестируйте только на собственных заказах и средствах. Не получайте доступ к данным других пользователей, не изменяйте и не удаляйте их и не ухудшайте работу сервиса.
• Демонстрируйте проблемы в блокчейне на форке сети или с минимальными суммами. Никогда не эксплуатируйте проблему в mainnet против реальных средств пользователей.
• Дайте нам не менее 90 дней на исправление и не публикуйте детали до подтверждения исправления. По желанию мы публично укажем ваше авторство после устранения проблемы.
• Исследование, соблюдающее эти правила, разрешено. Мы не будем преследовать добросовестных исследователей в судебном порядке и не будем сообщать о них властям за их исследование.

Сообщения о безопасности и вопросы по программе: support@instaswap.com