Bảo mật và bug bounty

InstaSwap chuyển tiền của người dùng thông qua các hợp đồng ký quỹ lập trình đã được Hashlock kiểm toán (báo cáo sẽ được công bố) và được bảo vệ bởi các bên ký phê duyệt độc lập. Dù vậy, chúng tôi vẫn giả định rằng mình có thể sai. Nếu bạn tìm ra cách đánh cắp, đóng băng hoặc chuyển sai tiền, hoặc chiếm quyền một tài khoản, chúng tôi muốn là người biết đầu tiên và sẽ trả thưởng cho điều đó.

1. Cách báo cáo

Gửi chi tiết qua email đến địa chỉ bên dưới với tiêu đề "Security report". Hãy nêu thành phần bị ảnh hưởng, chuỗi và địa chỉ hợp đồng nếu liên quan, các bước tái hiện và một bằng chứng khái niệm (bài kiểm thử trên chuỗi fork, bản ghi các request hoặc một script ngắn). Nếu bạn cần kênh mã hóa, hãy yêu cầu trong email đầu tiên và chúng tôi sẽ thiết lập trước khi bạn gửi chi tiết.

Báo cáo tới: support@instaswap.com

2. Những gì bạn có thể mong đợi từ chúng tôi

Chúng tôi xác nhận mọi báo cáo trong vòng 2 ngày làm việc và đưa ra đánh giá mức độ nghiêm trọng ban đầu trong 7 ngày. Các sự cố nghiêm trọng được giảm thiểu ngay lập tức (có thể tạm dừng nạp tiền và chuyển tiền đang giữ sang hoàn trả trong khi chuẩn bị bản vá) và bản vá được các kiểm toán viên của chúng tôi kiểm thử lại trước khi đóng sự cố. Bạn nhận được cập nhật trạng thái ở mỗi bước và bản tóm tắt cuối cùng khi sự cố được giải quyết.

3. Phạm vi

Trong phạm vi:

• Các hợp đồng factory ký quỹ và các triển khai ký quỹ của chúng được liệt kê ở mục 6, trên mọi chuỗi nơi chúng được triển khai.
• Lớp phê duyệt: mọi cách khiến một lệnh gọi ký quỹ được bảo vệ thành công mà không có đủ số chữ ký phê duyệt độc lập theo yêu cầu, hoặc khiến các bên phê duyệt ký một lệnh gọi có hại.
• API công khai và backend (các tên miền phụ api và walletlessapi của instaswap.com) khi tác động liên quan đến tiền: thanh toán sai người nhận, lách phí, thanh toán trùng, hoàn tiền sai địa chỉ, hoặc thao túng báo giá dẫn đến thua lỗ khi thực thi.
• instaswap.com, cổng đối tác và explorer: vượt qua xác thực, chiếm đoạt tài khoản, lộ dữ liệu của người dùng khác.

Ngoài phạm vi (không thưởng):

• Tấn công từ chối dịch vụ, giới hạn tốc độ, spam và bất cứ thứ gì cần lưu lượng quá mức.
• Lừa đảo, kỹ thuật xã hội, tấn công vật lý và các sự cố trong các sàn, cầu nối, mạng hoặc ví bên thứ ba mà InstaSwap định tuyến qua hoặc tích hợp.
• Các quyết định thiết kế được ghi nhận ở mục 7, bao gồm vai trò của khóa chủ sở hữu và khóa vận hành.
• Các thế hệ hợp đồng đã ngừng sử dụng, mạng thử nghiệm, khuyến nghị thực hành tốt không có tác động được chứng minh, self-XSS, thiếu header bảo mật và kết quả từ các trình quét tự động không có bằng chứng khái niệm hoạt động.

4. Mức độ nghiêm trọng và phần thưởng

Mức độ nghiêm trọng do InstaSwap quyết định dựa trên tác động đã chứng minh và khả năng bị khai thác. Số tiền tính bằng USD và được trả bằng USDC hoặc USDT trên một chuỗi được hỗ trợ do bạn chọn.

5. Điều khoản thanh toán

• Báo cáo hợp lệ đầu tiên về một sự cố được thưởng. Báo cáo trùng lặp và các sự cố chúng tôi đã biết thì không.
• Phần thưởng được trả trong vòng 14 ngày sau khi bản vá được xác nhận. Với phần thưởng trên 2.000 USD, chúng tôi yêu cầu xác minh danh tính trước khi thanh toán và không thể trả cho cá nhân hoặc tổ chức bị trừng phạt.
• Nhiều báo cáo có cùng nguyên nhân gốc được tính là một sự cố.
• InstaSwap có thể tạm dừng hoặc thay đổi chương trình này bất cứ lúc nào. Mọi lần tạm dừng đều được thông báo trên trang này và các báo cáo nhận được trước khi tạm dừng được xử lý theo điều khoản áp dụng tại thời điểm gửi.

6. Các hợp đồng đã kiểm toán trong phạm vi

Thế hệ ký quỹ hiện tại đã được Hashlock kiểm toán (báo cáo sẽ được công bố). Mã nguồn được xác minh trên từng trình khám phá khối và công bố trong kho lưu trữ kiểm toán. Mỗi factory bên dưới triển khai một ký quỹ tối giản cho mỗi lệnh từ bản triển khai được hiển thị.

Kho lưu trữ kiểm toán: github.com/Instaswap-Labs/instaswap-escrow-audit

7. Các quyết định thiết kế đã biết

Những điều sau là có chủ đích và đã được ghi nhận, và tự thân chúng không được thưởng. Chúng tôi hoan nghênh các báo cáo cho thấy cách một trong số đó có thể bị lạm dụng vượt quá mục đích.

• Mỗi factory có một khóa chủ sở hữu được giữ trên ví phần cứng. Các thay đổi nới lỏng bảo mật (tập hợp bên phê duyệt, ngân quỹ, bên vận hành) chỉ có hiệu lực sau 48 giờ trì hoãn công khai; hành động tức thời duy nhất của chủ sở hữu là tạm dừng.
• Các lệnh gọi ký quỹ thông thường do khóa vận hành gửi, nhưng mọi lệnh gọi chuyển tiền phải mang chữ ký của 3 trong 4 bên ký phê duyệt độc lập, những bên này kiểm tra lại lệnh với hồ sơ của chúng tôi trước khi ký.
• Mỗi ký quỹ cố định địa chỉ hoàn tiền của người dùng khi tạo. Sau thời gian chờ hoàn tiền, bất kỳ ai cũng có thể kích hoạt hoàn tiền về địa chỉ đó, nên tiền không bao giờ bị kẹt sau InstaSwap.
• Các giao dịch hoán đổi được thực hiện trên các sàn thanh khoản và mạng của bên thứ ba. Tính sẵn sàng, giá và trượt giá của chúng nằm ngoài chương trình này.

8. Quy tắc và safe harbour

• Chỉ kiểm thử với lệnh và tiền của chính bạn. Không truy cập, sửa đổi hoặc xóa dữ liệu của người dùng khác và không làm suy giảm dịch vụ.
• Chứng minh các sự cố on-chain trên chuỗi fork hoặc với số tiền tối thiểu. Không bao giờ khai thác sự cố trên mainnet với tiền thật của người dùng.
• Hãy cho chúng tôi ít nhất 90 ngày để sửa và không công bố chi tiết trước khi chúng tôi xác nhận bản vá. Nếu bạn muốn, chúng tôi sẵn sàng ghi công bạn công khai khi sự cố được giải quyết.
• Nghiên cứu tuân theo các quy tắc này được cho phép. Chúng tôi sẽ không khởi kiện các nhà nghiên cứu thiện chí và không báo cáo họ với cơ quan chức năng vì nghiên cứu của họ.

Báo cáo bảo mật và câu hỏi về chương trình này: support@instaswap.com