> For the complete documentation index, see [llms.txt](https://yubit.gitbook.io/yubit/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yubit.gitbook.io/yubit/cn/qi-ta-bang-zhu/bug-bounty-ji-hua.md). # Bug Bounty 计划 我们很高兴宣布推出 **YUBIT Bug Bounty 计划**，并鼓励大家积极参与、提交漏洞报告。\ 请将漏洞信息发送至：****\ 我们的安全团队将及时审核与验证问题，并在确认后与您取得联系。\ 您的安全贡献对我们至关重要！ *** ### 一、Web Bug Bounty #### 1. 测试范围 > [www.yubit.com](http://www.yubit.com) #### 2. 奖励金额 | 严重等级 | 奖励范围（USDT） | | ---- | ----------- | | 低风险 | 50 – 100 | | 中风险 | 100 – 500 | | 高风险 | 500 – 1000 | | 严重 | 1000 – 5000 | *** ### 二、Web 漏洞等级定义 #### （1）严重漏洞 影响核心业务系统（如控制系统、域控制器、业务分发系统、堡垒主机等），可造成重大损失。 **可能结果：** * 未经授权控制业务系统 * 获取核心系统管理权限 * 完全控制核心系统 **示例：** * 控制内部网络中的多个设备 * 获取后端超级管理员权限，导致关键数据泄露 * 智能合约溢出、竞争条件漏洞 *** #### （2）高风险漏洞 * 系统权限获取（GetShell、命令执行） * SQL 注入 * 绕过认证、弱密码、SSRF 等敏感信息访问 * 任意文件读取、XXE 任意信息访问 * 未经授权的交易、支付逻辑绕过 * 严重逻辑设计缺陷（如任意用户登录、批量修改密码） * 存储型 XSS（影响广泛） * 源代码大规模泄露 * 智能合约权限控制缺陷 *** #### （3）中风险漏洞 * 需用户交互的漏洞（如存储型 XSS、CSRF） * 并行授权漏洞（可绕过用户数据修改限制） * 拒绝服务（DoS） * 验证码逻辑缺陷导致暴力破解 * 本地敏感认证密钥泄露 *** #### （4）低风险漏洞 * 本地 DoS（客户端崩溃） * 常规信息泄露（路径遍历、目录浏览） * XSS（DOM / 反射型） * 普通 CSRF * URL 重定向漏洞 * 短信 / 邮件炸弹（每系统限一种类型） * 其他影响较小或无法证明危害的漏洞 *** ### 三、不接受的漏洞类型 * 邮件伪造 * 用户枚举 * Self-XSS / HTML 注入 * 缺少 CSP / SRI 安全策略 * 非敏感操作的 CSRF * Android 应用配置问题（如 `android:allowBackup="true"`) * 仅影响性能的问题（如图片缩放导致请求缓慢） * 第三方组件版本泄露（如 Nginx 版本） * 无安全影响的功能问题 * 对 **YUBIT 员工** 的社会工程攻击 *** ### 四、智能合约漏洞等级定义 #### （1）严重漏洞 * 治理投票结果操纵 * 直接窃取用户资金（不含未申领收益） * 永久冻结资金 * 矿工可提取价值（MEV） * 协议资不抵债 #### （2）高风险漏洞 * 窃取或冻结未申领收益 / 版税 * 暂时冻结资金 #### （3）中风险漏洞 * 智能合约因缺乏代币无法运行 * 利用区块堵塞牟利 * 无盈利动机的破坏行为 * 窃取 Gas * 无限消耗 Gas #### （4）低风险漏洞 * 未造成资金损失但影响合约承诺 * 信息类漏洞（预言机错误、治理攻击、流动性风险、Sybil 攻击等） * 最佳实践性安全建议 *** ### 五、禁止行为 * 社会工程或钓鱼攻击 * 公布或传播漏洞细节 * 破坏性测试（仅允许 PoC） * 使用未授权的扫描器进行大规模扫描 * 修改网页、弹窗轰炸、窃取 Cookie、使用侵入性 Payload > 若测试过程中造成意外损害，请立即报告。\ > 未遵守规则可能导致法律后果。 *** ### 六、结语 感谢您为维护 **YUBIT 平台安全** 所做的努力。\ 让我们携手共建一个更加安全、透明的加密生态系统。