安全與漏洞賞金
InstaSwap 透過程式化託管合約轉移用戶資金，這些合約已由 Hashlock 審計（報告即將發布），並由獨立的核准簽署者保護。即便如此，我們仍假設自己可能出錯。如果你找到了竊取、凍結或錯誤轉移資金的方法，或者能夠接管帳戶，我們希望第一時間知道，並會為此付費。
1. 如何回報
請將詳細資訊寄到下方信箱，郵件主旨為 "Security report"。請包含受影響的元件、相關的鏈和合約地址、逐步重現步驟以及概念驗證（分叉鏈上的測試、請求追蹤或簡短腳本）。如需加密管道，請在第一封郵件中提出，我們會在你傳送細節前準備好。
2. 你可以期待什麼
我們會在 2 個工作天內確認收到每份報告，並在 7 天內給出初步嚴重性評估。嚴重問題會立即緩解（在準備修復期間可以暫停存款並將託管資金轉為退款），修復會經我們的審計方複測後才結案。每個階段你都會收到狀態更新，問題解決後會收到最終總結。
3. 範圍
範圍內：
- 第 6 節列出的託管工廠合約及其託管實作，涵蓋所有已部署的鏈。
- 核准層：任何在未達到所需數量的獨立核准者簽名的情況下使受保護的託管呼叫成功的方法，或讓核准者簽署有害呼叫的方法。
- 公開 API 與後端（instaswap.com 的 api 和 walletlessapi 子網域）中影響資金的問題：付款給錯誤的接收方、繞過手續費、重複付款、退款到錯誤地址，或操縱報價導致執行時虧損。
- instaswap.com、合作夥伴入口網站和瀏覽器：繞過身分驗證、帳戶接管、洩露其他用戶的資料。
範圍外（不予獎勵）：
- 阻斷服務、速率限制、垃圾請求以及任何需要大量流量的行為。
- 釣魚、社交工程、實體攻擊，以及 InstaSwap 所路由或整合的第三方交易場所、跨鏈橋、網路或錢包中的問題。
- 第 7 節中記錄的設計決策，包括擁有者金鑰和操作者金鑰的角色。
- 已退役的合約版本、測試網、沒有可證明影響的最佳實務建議、self-XSS、缺失的安全標頭，以及沒有可用概念驗證的自動掃描器結果。
4. 嚴重性與賞金
嚴重性由 InstaSwap 根據已證明的影響和被利用的可能性判定。金額以美元計，以你選擇的受支援鏈上的 USDC 或 USDT 支付。
| 嚴重性 | 典型影響 | 賞金 |
|---|---|---|
| 嚴重 | 竊取或永久凍結用戶資金或金庫資金；在轉移資金的呼叫中繞過核准者要求。 | 風險資金的 10%，最低 5,000，最高 25,000 |
| 高 | 竊取已收取的手續費、暫時凍結資金、退款或付款傳送到錯誤地址。 | 2,500 至 7,500 |
| 中 | 繞過手續費、記帳錯誤、在沒有竊取的情況下讓 InstaSwap 或用戶蒙受損失的惡意干擾。 | 1,000 至 2,000 |
| 低 | 影響有限或間接但仍值得修復的問題。 | 100 至 500 |
5. 付款條款
- 對某一問題的首個有效報告給予獎勵。重複報告和我們已知的問題不予獎勵。
- 賞金在修復確認後 14 天內支付。超過 2,000 美元的賞金在支付前需要進行身分驗證，我們無法向受制裁的個人或實體付款。
- 具有同一根本原因的多份報告視為一個問題。
- InstaSwap 可隨時暫停或變更本計畫。任何暫停都會在本頁公告，暫停前收到的報告按提交時適用的條款處理。
6. 範圍內的已審計合約
目前的託管合約版本已由 Hashlock 審計（報告即將發布）。原始碼已在各區塊瀏覽器上驗證，並發布在審計儲存庫中。下方每個工廠都會依所示實作為每筆訂單部署一個最小化託管合約。
審計儲存庫： github.com/Instaswap-Labs/instaswap-escrow-audit
7. 已知的設計決策
以下內容是有意為之且已記錄在案，本身不予獎勵。歡迎提交說明如何將其中某項濫用到超出預期的報告。
- 每個工廠有一個保存在硬體錢包中的擁有者金鑰。放寬安全性的變更（核准者集合、金庫、操作者）僅在 48 小時的公開延遲後生效；擁有者唯一的即時操作是暫停。
- 常規託管呼叫由操作者金鑰傳送，但每一個轉移資金的呼叫都必須附帶 4 個獨立核准簽署者中 3 個的簽名，他們會在簽名前將訂單與我們的紀錄重新核對。
- 每個託管合約在建立時就鎖定用戶的退款地址。退款逾時後，任何人都可以觸發向該地址的退款，因此資金永遠不會被卡在 InstaSwap 之後。
- 兌換在第三方流動性場所和網路上執行。它們的可用性、價格和滑價不在本計畫範圍內。
8. 規則與安全港
- 僅使用你自己的訂單和資金進行測試。不要存取、修改或刪除其他用戶的資料，也不要降低服務品質。
- 請在分叉鏈上或使用最小金額示範鏈上問題。切勿在主網上針對真實用戶資金利用漏洞。
- 請給我們至少 90 天修復問題，在我們確認修復前不要公開細節。如你願意，問題解決後我們會公開致謝。
- 遵守這些規則的研究是經授權的。我們不會對善意的研究者採取法律行動，也不會因其研究向當局檢舉。
安全報告及有關本計畫的問題： support@instaswap.com