安全与漏洞赏金
InstaSwap 通过程序化托管合约转移用户资金，这些合约已由 Hashlock 审计（报告即将发布），并由独立的批准签名者保护。即便如此，我们仍然假设自己可能出错。如果你找到了窃取、冻结或错误转移资金的方法，或者能够接管账户，我们希望第一时间知道，并会为此付费。
1. 如何报告
请将详细信息发送至下方邮箱，邮件主题为 "Security report"。请包含受影响的组件、相关的链和合约地址、逐步复现步骤以及概念验证（分叉链上的测试、请求跟踪或简短脚本）。如需加密渠道，请在第一封邮件中提出，我们会在你发送细节前准备好。
2. 你可以期待什么
我们会在 2 个工作日内确认收到每份报告，并在 7 天内给出初步严重性评估。严重问题会立即缓解（在准备修复期间可以暂停存款并将托管资金转为退款），修复会经我们的审计方复测后才关闭问题。每个阶段你都会收到状态更新，问题解决后会收到最终总结。
3. 范围
范围内：
- 第 6 节列出的托管工厂合约及其托管实现，覆盖所有已部署的链。
- 批准层：任何在未达到所需数量的独立批准者签名的情况下使受保护的托管调用成功的方法，或让批准者签署有害调用的方法。
- 公共 API 与后端（instaswap.com 的 api 和 walletlessapi 子域）中影响资金的问题：付款给错误的接收方、绕过手续费、重复付款、退款到错误地址，或操纵报价导致执行时亏损。
- instaswap.com、合作伙伴门户和浏览器：绕过身份验证、账户接管、泄露其他用户的数据。
范围外（不予奖励）：
- 拒绝服务、速率限制、垃圾请求以及任何需要大量流量的行为。
- 钓鱼、社会工程、物理攻击，以及 InstaSwap 所路由或集成的第三方交易场所、跨链桥、网络或钱包中的问题。
- 第 7 节中记录的设计决策，包括所有者密钥和操作者密钥的角色。
- 已退役的合约版本、测试网、没有可证明影响的最佳实践建议、self-XSS、缺失的安全头，以及没有可用概念验证的自动扫描器结果。
4. 严重性与赏金
严重性由 InstaSwap 根据已证明的影响和被利用的可能性判定。金额以美元计，以你选择的受支持链上的 USDC 或 USDT 支付。
| 严重性 | 典型影响 | 赏金 |
|---|---|---|
| 严重 | 窃取或永久冻结用户资金或金库资金；在转移资金的调用中绕过批准者要求。 | 风险资金的 10%，最低 5,000，最高 25,000 |
| 高 | 窃取已收取的手续费、临时冻结资金、退款或付款发送到错误地址。 | 2,500 至 7,500 |
| 中 | 绕过手续费、记账错误、在没有窃取的情况下让 InstaSwap 或用户蒙受损失的恶意干扰。 | 1,000 至 2,000 |
| 低 | 影响有限或间接但仍值得修复的问题。 | 100 至 500 |
5. 支付条款
- 对某一问题的首个有效报告给予奖励。重复报告和我们已知的问题不予奖励。
- 赏金在修复确认后 14 天内支付。超过 2,000 美元的赏金在支付前需要进行身份验证，我们无法向受制裁的个人或实体付款。
- 具有同一根本原因的多份报告视为一个问题。
- InstaSwap 可随时暂停或更改本计划。任何暂停都会在本页公告，暂停前收到的报告按提交时适用的条款处理。
6. 范围内的已审计合约
当前的托管合约版本已由 Hashlock 审计（报告即将发布）。源代码已在各区块浏览器上验证，并发布在审计仓库中。下方每个工厂都会按所示实现为每笔订单部署一个最小化托管合约。
审计仓库： github.com/Instaswap-Labs/instaswap-escrow-audit
7. 已知的设计决策
以下内容是有意为之且已记录在案，本身不予奖励。欢迎提交说明如何将其中某项滥用到超出预期的报告。
- 每个工厂有一个保存在硬件钱包中的所有者密钥。放宽安全性的变更（批准者集合、金库、操作者）仅在 48 小时的公开延迟后生效；所有者唯一的即时操作是暂停。
- 常规托管调用由操作者密钥发送，但每一个转移资金的调用都必须携带 4 个独立批准签名者中 3 个的签名，他们会在签名前将订单与我们的记录重新核对。
- 每个托管合约在创建时就锁定用户的退款地址。退款超时后，任何人都可以触发向该地址的退款，因此资金永远不会被卡在 InstaSwap 之后。
- 兑换在第三方流动性场所和网络上执行。它们的可用性、价格和滑点不在本计划范围内。
8. 规则与安全港
- 仅使用你自己的订单和资金进行测试。不要访问、修改或删除其他用户的数据，也不要降低服务质量。
- 请在分叉链上或使用最小金额演示链上问题。切勿在主网上针对真实用户资金利用漏洞。
- 请给我们至少 90 天修复问题，在我们确认修复前不要公开细节。如你愿意，问题解决后我们会公开致谢。
- 遵守这些规则的研究是经授权的。我们不会对善意的研究者采取法律行动，也不会因其研究向当局举报。
安全报告及有关本计划的问题： support@instaswap.com