Bug-Bounty-Programm (Richtlinie zur koordinierten Offenlegung und Prämien für White-Hat-Hacker)
Willkommen im UUPAY Security Response Center (USRC)!
Als weltweit führende Plattform für Kryptozahlungen und Kartendienste stellt UUPAY die Sicherheit der Nutzerguthaben, den Schutz der Privatsphäre und die Widerstandsfähigkeit der zugrunde liegenden Architektur stets an erste Stelle. Wir laden Sicherheitsexpertinnen und -experten, White-Hat-Forschende und Partner der Security-Community weltweit herzlich ein, gemeinsam mit uns eine sichere, transparente und robuste Krypto-Zahlungsinfrastruktur zu bewahren.
🛡️ Schutzzusage für regelkonforme Sicherheitsforschung Wir unterstützen Sicherheitsforschung, die den Grundsätzen der verantwortungsvollen Offenlegung (Responsible Disclosure) folgt, uneingeschränkt. Solange Sie diese Richtlinie einhalten und noch nicht behobene Schwachstellen nicht ohne vorherige Zustimmung öffentlich machen, verpflichtet sich UUPAY, keine rechtlichen Schritte gegen regelkonform handelnde Forschende einzuleiten.
💰 Risikostufen und Prämienkriterien
Abhängig von Schweregrad, Ausnutzbarkeit und Reichweite der Auswirkungen zahlen wir Barprämien von bis zu 50.000 USDT und mehr. Grundlage der Bewertung sind CVSS v3.1 sowie die Sicherheitsstandards der Kryptobranche:
| Risikostufe | Prämie (USDT) | SLA für die Erstprüfung | Typische Schwachstellenbeispiele |
|---|---|---|---|
| 🚨 Kritisch (Critical) | 5.000 – 50.000+ $ | Innerhalb von 12 Stunden | Remote Code Execution (RCE), unautorisierte Überweisungen oder Abhebungen aus dem Fondsbestand, Leck kritischer Signaturschlüssel, fatale Logikfehler in Smart Contracts |
| ⚠️ Hoch (High) | 1.500 – 5.000 $ | Innerhalb von 24 Stunden | Unautorisierte Manipulation von Beträgen oder Gebühren, Umgehung der Authentifizierung, SQL-Injection, massenhafter Abfluss sensibler Daten |
| 🟡 Mittel (Medium) | 300 – 1.500 $ | Innerhalb von 48 Stunden | Stored XSS (Cross-Site Scripting), unautorisierter Zugriff auf sensible interne APIs, Rechteausweitung |
| 🔵 Niedrig (Low) | 50 – 300 $ | 5 Werktage | Lokal begrenztes CSRF, kleinere Fehlkonfigurationen, unverschlüsselte lokale Speicherung auf dem Client, Reflected XSS |
🎯 Autorisierter Testumfang (In-Scope Targets)
Die folgenden Domains und Endpunkte gehören zum autorisierten Testumfang:
- Offizielle Website und APIs:
https://*.uupay.com/https://api.uupay.com - Mobile Anwendungen: UUPAY iOS-App und Android-APK-Client
- Smart Contracts und Settlement-Ebene: On-Chain-Treuhand- sowie Ein- und Auszahlungsverträge von UUPAY
⚠️ Nicht zum Umfang gehörende Handlungen (Out-of-Scope)
- Jegliche Form von Denial-of-Service-Angriffen (DoS / DDoS)
- Social Engineering oder Phishing gegen Mitarbeitende oder Nutzende von UUPAY
- Physische Angriffe, Eindringen in Büroausstattung oder Schwachstellen bei Drittanbietern
📬 Einreichung von Berichten und Reaktionsprozess
Senden Sie Ihren Sicherheitsbericht an unsere offizielle Adresse für Sicherheitsmeldungen:
security@uupay.com
Bitte geben Sie im Bericht möglichst Folgendes an:
- Bezeichnung der Schwachstelle sowie die konkret betroffene Domain oder den API-Endpunkt
- Detaillierte Schritte zur Reproduktion (PoC-Skript, Screenshots der HTTP-Anfragen oder Bildschirmaufnahme)
- Einschätzung der Auswirkungen und Vorschläge zur Behebung
Für bestätigte, gültige Berichte zahlen wir die Prämie innerhalb von 3 Werktagen in USDT aus und laden Sie in die UUPAY White-Hat Hall of Fame ein.
Vielen Dank für Ihren wertvollen Beitrag zu UUPAY und zur Sicherheit von Kryptozahlungen weltweit!