Programa de recompensas por vulnerabilidades (política de divulgación coordinada y recompensas para hackers éticos)
¡Bienvenido al Centro de Respuesta de Seguridad de UUPAY (UUPAY Security Response Center, USRC)!
Como plataforma líder mundial de pagos y servicios de tarjetas con criptomonedas, UUPAY siempre ha situado en primer lugar la seguridad de los activos de sus usuarios, la protección de la privacidad y la capacidad defensiva de su arquitectura subyacente. Invitamos cordialmente a los expertos en ciberseguridad, investigadores éticos y socios de la comunidad de seguridad de todo el mundo a mantener junto a nosotros una infraestructura de pagos cripto segura, transparente y sólida.
🛡️ Compromiso de protección para la investigación de seguridad conforme a la política Apoyamos plenamente la investigación de seguridad que sigue los principios de la divulgación responsable (Responsible Disclosure). Siempre que cumpla esta política y no divulgue públicamente vulnerabilidades sin parchear sin autorización previa, UUPAY se compromete a no emprender acciones legales contra los investigadores que la respeten.
💰 Clasificación de severidad y criterios de recompensa
En función de la gravedad, la dificultad de explotación y el alcance del impacto, ofrecemos recompensas en efectivo de hasta más de 50 000 USDT. Los criterios de evaluación se basan en CVSS v3.1 y en los estándares de seguridad del sector cripto:
| Nivel de riesgo | Recompensa (USDT) | SLA de triaje inicial | Ejemplos típicos de vulnerabilidad |
|---|---|---|---|
| 🚨 Crítica (Critical) | $5000 – $50 000+ | En menos de 12 horas | Ejecución remota de código (RCE), transferencias o retiros no autorizados desde los fondos, filtración de claves de firma críticas, fallos lógicos fatales en contratos inteligentes |
| ⚠️ Alta (High) | $1500 – $5000 | En menos de 24 horas | Manipulación no autorizada de importes o comisiones, elusión del mecanismo de autenticación, inyección SQL, filtración masiva de datos sensibles |
| 🟡 Media (Medium) | $300 – $1500 | En menos de 48 horas | XSS almacenado (Cross-Site Scripting), acceso no autorizado a API internas sensibles, escalada de privilegios |
| 🔵 Baja (Low) | $50 – $300 | 5 días hábiles | CSRF localizado, defectos menores de configuración, almacenamiento local sin cifrar en el cliente, XSS reflejado |
🎯 Alcance autorizado de las pruebas (In-Scope Targets)
Los siguientes dominios y endpoints están dentro del alcance autorizado:
- Sitio web oficial y API:
https://*.uupay.com/https://api.uupay.com - Aplicaciones móviles: app de UUPAY para iOS y cliente Android APK
- Contratos inteligentes y capa de liquidación: contratos de custodia en cadena y de depósito/retiro de UUPAY
⚠️ Actividades fuera de alcance (Out-of-Scope)
- Cualquier forma de ataque de denegación de servicio (DoS / DDoS)
- Ingeniería social o phishing dirigidos a empleados o usuarios de UUPAY
- Ataques físicos, intrusión en equipos de oficina o vulnerabilidades de proveedores externos
📬 Envío de informes y proceso de respuesta
Envíe su informe de seguridad al buzón oficial de respuesta de seguridad:
security@uupay.com
Al enviar el informe, incluya en la medida de lo posible:
- Nombre de la vulnerabilidad y el dominio o endpoint de API concreto afectado
- Pasos detallados de reproducción (script PoC, capturas de las peticiones HTTP o grabación de pantalla)
- Evaluación del alcance del impacto y propuestas de corrección
Para los informes válidos confirmados, abonaremos la recompensa en USDT en un plazo de 3 días hábiles, y el autor será invitado al Salón de la Fama de hackers éticos de UUPAY (Hall of Fame).
¡Gracias por su extraordinaria contribución a UUPAY y a la seguridad de los pagos cripto en todo el mundo!