버그 바운티 프로그램 (취약점 협력 공개 정책 및 화이트해커 보상 제도)
**UUPAY 보안 대응 센터 (UUPAY Security Response Center, USRC)**에 오신 것을 환영합니다!
글로벌 선도 암호화폐 결제 및 카드 서비스 플랫폼으로서 UUPAY는 사용자 자산의 안전, 프라이버시 보호, 그리고 기반 아키텍처의 방어 역량을 언제나 최우선에 두고 있습니다. 전 세계 보안 전문가, 화이트해커 연구원, 보안 커뮤니티 파트너 여러분을 초대하여 안전하고 투명하며 견고한 암호화폐 결제 인프라를 함께 지켜 나가고자 합니다.
🛡️ 보안 연구에 대한 세이프 하버 약속 당사는 책임 있는 공개(Responsible Disclosure) 원칙을 준수하는 보안 연구 활동을 전적으로 지지합니다. 본 정책을 준수하고 허가 없이 미패치 취약점을 외부에 공개하지 않는 한, UUPAY는 정책을 준수한 보안 연구자에게 법적 책임을 묻지 않을 것을 약속드립니다.
💰 취약점 등급 및 보상 기준
취약점의 위험도, 악용 난이도, 영향 범위에 따라 최대 $50,000 USDT 이상의 현금 보상을 제공합니다. 평가 기준은 CVSS v3.1 및 암호화폐 보안 표준을 참고합니다.
| 위험 등급 | 보상 금액 (USDT) | 1차 확인 SLA | 대표적인 취약점 사례 |
|---|---|---|---|
| 🚨 치명적 (Critical) | $5,000 – $50,000+ | 12시간 이내 | 원격 코드 실행(RCE), 자금 풀 권한 초과 이체·출금, 핵심 서명 개인키 유출, 스마트 컨트랙트 치명적 로직 결함 |
| ⚠️ 높음 (High) | $1,500 – $5,000 | 24시간 이내 | 거래 금액 또는 수수료율 무단 변조, 인증 우회, SQL 인젝션, 민감 정보 대량 유출 |
| 🟡 중간 (Medium) | $300 – $1,500 | 48시간 이내 | 저장형 XSS(크로스사이트 스크립팅), 민감 백오피스 API 무단 접근, 권한 상승 |
| 🔵 낮음 (Low) | $50 – $300 | 영업일 기준 5일 | 제한적 CSRF, 경미한 설정 결함, 클라이언트 로컬 데이터 미암호화 저장, 반사형 XSS |
🎯 테스트 허용 범위 (In-Scope Targets)
다음 도메인과 엔드포인트는 테스트가 허용된 범위입니다.
- 공식 웹사이트 및 API:
https://*.uupay.com/https://api.uupay.com - 모바일 애플리케이션: UUPAY iOS 앱 및 Android APK 클라이언트
- 스마트 컨트랙트 및 정산 계층: UUPAY 온체인 커스터디 및 입출금 컨트랙트
⚠️ 테스트 금지 행위 (Out-of-Scope)
- 모든 형태의 서비스 거부 공격(DoS / DDoS)
- UUPAY 임직원 또는 사용자를 대상으로 한 사회공학 및 피싱 공격
- 물리적 공격, 사무실 장비 침입, 제3자 서비스 제공업체의 취약점
📬 제보 및 대응 절차
보안 리포트는 공식 보안 대응 메일로 보내주시기 바랍니다.
security@uupay.com
제보 시 가능한 한 아래 정보를 포함해 주세요.
- 취약점 명칭과 영향을 받는 구체적인 도메인 또는 API 엔드포인트
- 상세한 재현 절차(PoC 스크립트, HTTP 요청 캡처 또는 화면 녹화)
- 영향 범위 평가 및 수정 방안 제안
유효한 취약점으로 확인된 제보에 대해서는 영업일 기준 3일 이내에 USDT 보상금을 지급하며, 제보자는 **UUPAY 화이트해커 명예의 전당 (Hall of Fame)**에 등재됩니다.
UUPAY와 전 세계 암호화폐 결제 보안에 기여해 주셔서 진심으로 감사드립니다!