Program Bug Bounty (Dasar Pendedahan Kerentanan Terselaras dan Ganjaran Penggodam Topi Putih)
Selamat datang ke Pusat Tindak Balas Keselamatan UUPAY (UUPAY Security Response Center, USRC)!
Sebagai platform pembayaran dan perkhidmatan kad kripto terkemuka dunia, UUPAY sentiasa mengutamakan keselamatan aset pengguna, perlindungan privasi serta keupayaan pertahanan seni bina asasnya. Kami dengan ikhlas menjemput pakar keselamatan siber, penyelidik topi putih dan rakan komuniti keselamatan di seluruh dunia untuk bersama-sama memelihara infrastruktur pembayaran kripto yang selamat, telus dan kukuh.
🛡️ Komitmen Perlindungan bagi Penyelidikan Keselamatan yang Mematuhi Dasar Kami menyokong sepenuhnya aktiviti penyelidikan keselamatan yang mematuhi prinsip Pendedahan Bertanggungjawab (Responsible Disclosure). Selagi anda mematuhi dasar ini dan tidak mendedahkan kerentanan yang belum ditampal kepada umum tanpa kebenaran, UUPAY berjanji tidak akan mengambil tindakan undang-undang terhadap penyelidik yang mematuhi dasar.
💰 Penggredan Kerentanan dan Piawaian Ganjaran
Berdasarkan tahap bahaya, kesukaran eksploitasi dan skop impak, kami menawarkan ganjaran tunai sehingga $50,000+ USDT. Penilaian merujuk kepada CVSS v3.1 dan piawaian keselamatan kripto:
| Tahap Risiko | Ganjaran (USDT) | SLA Pengesahan Awal | Contoh Kerentanan Lazim |
|---|---|---|---|
| 🚨 Kritikal (Critical) | $5,000 – $50,000+ | Dalam 12 jam | Pelaksanaan kod jarak jauh (RCE), pemindahan atau pengeluaran tanpa kebenaran daripada kumpulan dana, kebocoran kunci tandatangan teras, kecacatan logik maut dalam kontrak pintar |
| ⚠️ Tinggi (High) | $1,500 – $5,000 | Dalam 24 jam | Pengubahan tanpa kebenaran terhadap jumlah transaksi atau kadar yuran, pintasan mekanisme pengesahan, suntikan SQL, kebocoran data sensitif secara pukal |
| 🟡 Sederhana (Medium) | $300 – $1,500 | Dalam 48 jam | XSS tersimpan (Cross-Site Scripting), akses tanpa kebenaran ke API pentadbiran sensitif, peningkatan keistimewaan |
| 🔵 Rendah (Low) | $50 – $300 | 5 hari bekerja | CSRF setempat, kelemahan konfigurasi kecil, penyimpanan data tempatan tanpa penyulitan pada klien, XSS pantulan |
🎯 Skop Ujian Dibenarkan (In-Scope Targets)
Domain dan titik akhir berikut termasuk dalam skop ujian yang dibenarkan:
- Laman web rasmi dan API:
https://*.uupay.com/https://api.uupay.com - Aplikasi mudah alih: aplikasi UUPAY iOS dan klien Android APK
- Kontrak pintar dan lapisan penjelasan: kontrak kustodi rantaian serta deposit/pengeluaran UUPAY
⚠️ Aktiviti Tidak Dibenarkan (Out-of-Scope)
- Sebarang bentuk serangan penafian perkhidmatan (DoS / DDoS)
- Kejuruteraan sosial atau pancingan data (phishing) terhadap kakitangan atau pengguna UUPAY
- Serangan fizikal, pencerobohan peralatan pejabat, atau kerentanan pembekal perkhidmatan pihak ketiga
📬 Proses Penyerahan dan Maklum Balas
Sila hantarkan laporan keselamatan anda ke peti mel tindak balas keselamatan rasmi:
security@uupay.com
Semasa menghantar laporan, sila sertakan maklumat berikut sebanyak mungkin:
- Nama kerentanan serta domain atau titik akhir API khusus yang terjejas
- Langkah penghasilan semula yang terperinci (skrip PoC, tangkapan paket HTTP atau rakaman skrin)
- Penilaian skop impak dan cadangan penyelesaian
Bagi laporan sah yang disahkan, ganjaran USDT akan dibayar dalam tempoh 3 hari bekerja, dan pelapor turut dijemput ke Dewan Kemasyhuran Topi Putih UUPAY (Hall of Fame).
Terima kasih atas sumbangan cemerlang anda kepada UUPAY dan kepada keselamatan pembayaran kripto global!