Programme de primes aux vulnérabilités (politique de divulgation coordonnée et récompenses pour les hackers éthiques)
Bienvenue au Centre de réponse de sécurité UUPAY (UUPAY Security Response Center, USRC) !
En tant que plateforme mondiale de premier plan pour les paiements et les services de cartes en cryptomonnaie, UUPAY place toujours la sécurité des actifs des utilisateurs, la protection de la vie privée et la robustesse de son infrastructure au premier rang de ses priorités. Nous invitons sincèrement les experts en cybersécurité, les chercheurs éthiques et les partenaires de la communauté sécurité du monde entier à préserver avec nous une infrastructure de paiement crypto sûre, transparente et solide.
🛡️ Engagement de protection pour la recherche en sécurité conforme Nous soutenons pleinement les travaux de recherche respectant les principes de la divulgation responsable (Responsible Disclosure). Dès lors que vous respectez la présente politique et ne divulguez pas publiquement une vulnérabilité non corrigée sans autorisation préalable, UUPAY s’engage à n’engager aucune action en justice à l’encontre des chercheurs qui s’y conforment.
💰 Niveaux de gravité et barème des primes
Selon la gravité, la difficulté d’exploitation et l’étendue de l’impact, nous offrons des primes en espèces pouvant atteindre plus de 50 000 USDT. Nos critères d’évaluation reposent sur le CVSS v3.1 et sur les standards de sécurité du secteur crypto :
| Niveau de risque | Montant de la prime (USDT) | SLA de première qualification | Exemples types de vulnérabilités |
|---|---|---|---|
| 🚨 Critique (Critical) | 5 000 – 50 000 $ et plus | Sous 12 heures | Exécution de code à distance (RCE), transfert ou retrait non autorisé depuis les réserves, fuite de clés de signature critiques, faille logique fatale dans un contrat intelligent |
| ⚠️ Élevé (High) | 1 500 – 5 000 $ | Sous 24 heures | Altération non autorisée des montants ou des frais, contournement du mécanisme d’authentification, injection SQL, fuite massive de données sensibles |
| 🟡 Moyen (Medium) | 300 – 1 500 $ | Sous 48 heures | XSS stocké (Cross-Site Scripting), accès non autorisé à des API internes sensibles, élévation de privilèges |
| 🔵 Faible (Low) | 50 – 300 $ | 5 jours ouvrés | CSRF localisé, défauts de configuration mineurs, stockage local non chiffré côté client, XSS réfléchi |
🎯 Périmètre de test autorisé (In-Scope Targets)
Les domaines et points de terminaison suivants relèvent du périmètre autorisé :
- Site officiel et API :
https://*.uupay.com/https://api.uupay.com - Applications mobiles : application UUPAY pour iOS et client Android APK
- Contrats intelligents et couche de règlement : contrats de séquestre on-chain et de dépôt/retrait UUPAY
⚠️ Actions hors périmètre (Out-of-Scope)
- Toute forme d’attaque par déni de service (DoS / DDoS)
- Ingénierie sociale ou hameçonnage visant les collaborateurs ou les utilisateurs d’UUPAY
- Attaques physiques, intrusion dans les équipements de bureau ou vulnérabilités de fournisseurs tiers
📬 Soumission des rapports et processus de réponse
Envoyez votre rapport de sécurité à notre adresse officielle de réponse de sécurité :
security@uupay.com
Merci d’y faire figurer, dans la mesure du possible :
- Le nom de la vulnérabilité ainsi que le domaine ou le point de terminaison d’API concerné
- Les étapes de reproduction détaillées (script PoC, captures des requêtes HTTP ou enregistrement d’écran)
- Une évaluation de l’étendue de l’impact et des suggestions de correction
Pour tout rapport valide confirmé, nous versons la prime en USDT sous 3 jours ouvrés et vous invitons à rejoindre le Tableau d’honneur des hackers éthiques UUPAY.
Merci pour votre contribution remarquable à UUPAY et à la sécurité des paiements crypto dans le monde entier !