برنامج مكافآت الثغرات الأمنية (سياسة الإفصاح المنسّق عن الثغرات ومكافآت القبعات البيضاء)
مرحبًا بك في مركز الاستجابة الأمنية لدى UUPAY (UUPAY Security Response Center, USRC)!
بصفتنا منصة رائدة عالميًا في مدفوعات العملات الرقمية وخدمات البطاقات، تضع UUPAY دائمًا أمان أصول المستخدمين وحماية الخصوصية وقدرات الدفاع في البنية الأساسية في المقام الأول. وندعو بصدق خبراء الأمن السيبراني والباحثين من أصحاب القبعات البيضاء وشركاء مجتمع الأمن حول العالم للعمل معنا على صون بنية تحتية آمنة وشفافة وصلبة لمدفوعات العملات الرقمية.
🛡️ التزام الحماية للأبحاث الأمنية الملتزمة بالسياسة ندعم بالكامل الأبحاث الأمنية التي تلتزم بمبادئ الإفصاح المسؤول (Responsible Disclosure). وما دمت ملتزمًا بهذه السياسة ولم تنشر ثغرة لم تُعالَج بعد دون إذن مسبق، تتعهد UUPAY بعدم اتخاذ أي إجراء قانوني بحق الباحثين الملتزمين.
💰 تصنيف الخطورة ومعايير المكافآت
بناءً على درجة الخطورة وصعوبة الاستغلال ونطاق التأثير، نقدّم مكافآت نقدية تصل إلى أكثر من 50,000 USDT. وتستند معايير التقييم إلى CVSS v3.1 ومعايير أمن العملات الرقمية:
| مستوى الخطورة | المكافأة (USDT) | مهلة الفرز الأولي | أمثلة نموذجية على الثغرات |
|---|---|---|---|
| 🚨 حرجة (Critical) | $5,000 – $50,000+ | خلال 12 ساعة | تنفيذ التعليمات البرمجية عن بُعد (RCE)، التحويل أو السحب دون صلاحية من مجمّعات الأموال، تسريب مفاتيح التوقيع الأساسية، أخطاء منطقية قاتلة في العقود الذكية |
| ⚠️ عالية (High) | $1,500 – $5,000 | خلال 24 ساعة | التلاعب دون صلاحية بمبالغ المعاملات أو نسب الرسوم، تجاوز آلية المصادقة، حقن SQL، تسريب جماعي لبيانات حساسة |
| 🟡 متوسطة (Medium) | $300 – $1,500 | خلال 48 ساعة | XSS المخزَّن (Cross-Site Scripting)، الوصول غير المصرّح به إلى واجهات API إدارية حساسة، تصعيد الصلاحيات |
| 🔵 منخفضة (Low) | $50 – $300 | 5 أيام عمل | CSRF محدود النطاق، عيوب إعداد طفيفة، تخزين بيانات محليًا دون تشفير على جهاز المستخدم، XSS الانعكاسي |
🎯 نطاق الاختبار المصرّح به (In-Scope Targets)
النطاقات ونقاط النهاية التالية مشمولة بالتصريح بالاختبار:
- الموقع الرسمي وواجهات API:
https://*.uupay.com/https://api.uupay.com - تطبيقات الهاتف: تطبيق UUPAY على iOS وعميل Android APK
- العقود الذكية وطبقة التسوية: عقود الحفظ على السلسلة وعقود الإيداع والسحب لدى UUPAY
⚠️ الأنشطة غير المصرّح بها (Out-of-Scope)
- أي شكل من أشكال هجمات حجب الخدمة (DoS / DDoS)
- الهندسة الاجتماعية أو التصيّد الاحتيالي (Phishing) الموجّه إلى موظفي UUPAY أو مستخدميها
- الهجمات المادية أو اختراق معدات المكاتب أو ثغرات مزوّدي الخدمات الخارجيين
📬 آلية الإبلاغ والاستجابة
يُرجى إرسال تقريرك الأمني إلى بريد الاستجابة الأمنية الرسمي:
security@uupay.com
عند الإبلاغ، يُرجى تضمين المعلومات التالية قدر الإمكان:
- اسم الثغرة والنطاق أو نقطة نهاية API المتأثرة تحديدًا
- خطوات إعادة الإنتاج بالتفصيل (سكربت PoC، لقطات لحزم طلبات HTTP أو تسجيل للشاشة)
- تقييم نطاق التأثير واقتراحات المعالجة
بالنسبة إلى التقارير الصحيحة والمؤكَّدة، نصرف مكافأة الـ USDT خلال 3 أيام عمل، ويُدعى المُبلِّغ للانضمام إلى قائمة شرف القبعات البيضاء لدى UUPAY (Hall of Fame).
شكرًا لإسهامك المتميّز في أمن UUPAY وأمن مدفوعات العملات الرقمية حول العالم!