Program Bug Bounty (Kebijakan Pengungkapan Kerentanan Terkoordinasi dan Imbalan Peretas Topi Putih)
Selamat datang di Pusat Tanggap Keamanan UUPAY (UUPAY Security Response Center, USRC)!
Sebagai platform pembayaran dan layanan kartu kripto terkemuka di dunia, UUPAY selalu menempatkan keamanan aset pengguna, perlindungan privasi, serta kemampuan pertahanan arsitektur dasarnya sebagai prioritas utama. Kami dengan tulus mengundang para pakar keamanan siber, peneliti topi putih, dan mitra komunitas keamanan di seluruh dunia untuk bersama kami menjaga infrastruktur pembayaran kripto yang aman, transparan, dan tangguh.
🛡️ Komitmen Perlindungan bagi Riset Keamanan yang Patuh Kami sepenuhnya mendukung kegiatan riset keamanan yang mengikuti prinsip Pengungkapan yang Bertanggung Jawab (Responsible Disclosure). Selama Anda mematuhi kebijakan ini dan tidak mempublikasikan kerentanan yang belum diperbaiki tanpa izin, UUPAY berjanji tidak akan menempuh jalur hukum terhadap peneliti yang patuh.
💰 Tingkat Kerentanan dan Standar Imbalan
Berdasarkan tingkat bahaya, kesulitan eksploitasi, dan cakupan dampak, kami memberikan imbalan tunai hingga lebih dari $50.000 USDT. Kriteria penilaian mengacu pada CVSS v3.1 dan standar keamanan kripto:
| Tingkat Risiko | Imbalan (USDT) | SLA Verifikasi Awal | Contoh Kerentanan Umum |
|---|---|---|---|
| 🚨 Kritis (Critical) | $5.000 – $50.000+ | Dalam 12 jam | Eksekusi kode jarak jauh (RCE), transfer atau penarikan tanpa wewenang dari kumpulan dana, kebocoran kunci penandatanganan inti, cacat logika fatal pada kontrak pintar |
| ⚠️ Tinggi (High) | $1.500 – $5.000 | Dalam 24 jam | Manipulasi nominal transaksi atau tarif biaya tanpa wewenang, pengabaian mekanisme autentikasi, injeksi SQL, kebocoran data sensitif dalam jumlah besar |
| 🟡 Sedang (Medium) | $300 – $1.500 | Dalam 48 jam | XSS tersimpan (Cross-Site Scripting), akses tanpa izin ke API back office sensitif, peningkatan hak akses |
| 🔵 Rendah (Low) | $50 – $300 | 5 hari kerja | CSRF terbatas, kekurangan konfigurasi ringan, penyimpanan data lokal tanpa enkripsi di sisi klien, XSS terpantul |
🎯 Cakupan Pengujian yang Diizinkan (In-Scope Targets)
Domain dan endpoint berikut termasuk dalam cakupan pengujian yang diizinkan:
- Situs resmi dan API:
https://*.uupay.com/https://api.uupay.com - Aplikasi seluler: aplikasi UUPAY iOS dan klien Android APK
- Kontrak pintar dan lapisan kliring: kontrak kustodian on-chain serta setoran/penarikan UUPAY
⚠️ Aktivitas di Luar Cakupan (Out-of-Scope)
- Segala bentuk serangan penolakan layanan (DoS / DDoS)
- Rekayasa sosial atau phishing yang menyasar karyawan maupun pengguna UUPAY
- Serangan fisik, penerobosan perangkat kantor, atau kerentanan penyedia layanan pihak ketiga
📬 Proses Pelaporan dan Tanggapan
Silakan kirimkan laporan keamanan Anda ke email tanggap keamanan resmi:
security@uupay.com
Saat mengirim laporan, mohon sertakan informasi berikut sedapat mungkin:
- Nama kerentanan serta domain atau endpoint API spesifik yang terdampak
- Langkah reproduksi terperinci (skrip PoC, tangkapan paket HTTP, atau rekaman layar)
- Penilaian cakupan dampak dan saran solusi perbaikan
Untuk laporan valid yang telah dikonfirmasi, imbalan USDT akan dibayarkan dalam 3 hari kerja, dan pelapor turut diundang masuk ke Hall of Fame Peretas Topi Putih UUPAY.
Terima kasih atas kontribusi luar biasa Anda bagi UUPAY dan bagi keamanan pembayaran kripto global!