バグバウンティプログラム（脆弱性協調開示ポリシーとホワイトハッカー報奨制度）
UUPAY セキュリティレスポンスセンター (USRC) へようこそ！
世界有数の暗号資産決済・カードサービスプラットフォームとして、UUPAY はユーザー資産の安全、プライバシー保護、そして基盤アーキテクチャの防御力を常に最優先に考えています。世界中のセキュリティ専門家、ホワイトハッカー研究者、セキュリティコミュニティの皆様とともに、安全で透明性が高く強固な暗号決済インフラを維持していきたいと考えております。
🛡️ セキュリティ研究に関するセーフハーバー宣言 当社は 責任ある開示（Responsible Disclosure） の原則に従うセキュリティ研究活動を全面的に支持します。本ポリシーを遵守し、未修正の脆弱性を許可なく公開しない限り、UUPAY はポリシーに従った研究者に対して法的措置を取らないことをお約束します。
💰 深刻度の区分と報奨金基準
脆弱性の危険度、悪用の難易度、影響範囲に応じて、最大 50,000 USDT 以上 の報奨金をお支払いします。評価は CVSS v3.1 および暗号資産分野のセキュリティ基準に準拠します。
| 深刻度 | 報奨金 (USDT) | 一次確認 SLA | 代表的な脆弱性の例 |
|---|---|---|---|
| 🚨 緊急 (Critical) | $5,000 – $50,000+ | 12 時間以内 | リモートコード実行 (RCE)、資金プールからの不正送金・出金、コア署名鍵の漏洩、スマートコントラクトの致命的なロジック欠陥 |
| ⚠️ 重大 (High) | $1,500 – $5,000 | 24 時間以内 | 取引金額・手数料率の不正改ざん、認証機構のバイパス、SQL インジェクション、機密データの大量漏洩 |
| 🟡 中 (Medium) | $300 – $1,500 | 48 時間以内 | 格納型 XSS（クロスサイトスクリプティング）、機密管理 API への不正アクセス、権限昇格 |
| 🔵 低 (Low) | $50 – $300 | 5 営業日 | 限定的な CSRF、軽微な設定不備、クライアント端末での平文保存、反射型 XSS |
🎯 テスト対象範囲 (In-Scope Targets)
以下のドメインおよびエンドポイントがテスト対象です。
- 公式サイトおよび API：
https://*.uupay.com/https://api.uupay.com - モバイルアプリ：UUPAY iOS アプリおよび Android APK クライアント
- スマートコントラクトと清算層：UUPAY のオンチェーンカストディおよび入出金コントラクト
⚠️ 対象外の行為 (Out-of-Scope)
- あらゆる形態のサービス妨害攻撃（DoS / DDoS）
- UUPAY 従業員またはユーザーを狙ったソーシャルエンジニアリング、フィッシング
- 物理的攻撃、オフィス機器への侵入、第三者サービス事業者の脆弱性
📬 報告と対応のプロセス
セキュリティレポートは公式のセキュリティ窓口までお送りください。
security@uupay.com
ご報告の際は、可能な範囲で以下をご記載ください：
- 脆弱性の名称、影響を受ける具体的なドメインまたは API エンドポイント
- 詳細な再現手順（PoC スクリプト、HTTP リクエストのキャプチャまたは画面録画）
- 影響範囲の評価と修正方法のご提案
有効な脆弱性として確認された報告については、3 営業日以内に USDT 報奨金をお支払いし、報告者は UUPAY ホワイトハッカー殿堂 (Hall of Fame) へご招待いたします。
UUPAY および世界の暗号決済のセキュリティへの多大なご貢献に、心より感謝申し上げます。