Programa de recompensas por vulnerabilidades (política de divulgação coordenada e recompensas para hackers éticos)
Bem-vindo ao Centro de Resposta de Segurança da UUPAY (UUPAY Security Response Center, USRC)!
Enquanto plataforma líder mundial de pagamentos e serviços de cartões com criptomoedas, a UUPAY coloca sempre em primeiro lugar a segurança dos ativos dos utilizadores, a proteção da privacidade e a capacidade defensiva da sua arquitetura de base. Convidamos sinceramente especialistas em cibersegurança, investigadores éticos e parceiros da comunidade de segurança de todo o mundo a manterem connosco uma infraestrutura de pagamentos cripto segura, transparente e sólida.
🛡️ Compromisso de proteção para investigação de segurança em conformidade Apoiamos plenamente a investigação de segurança que segue os princípios da divulgação responsável (Responsible Disclosure). Desde que cumpra esta política e não divulgue publicamente vulnerabilidades ainda não corrigidas sem autorização prévia, a UUPAY compromete-se a não intentar ações legais contra investigadores em conformidade.
💰 Classificação de gravidade e critérios de recompensa
Consoante a gravidade, a dificuldade de exploração e o âmbito do impacto, oferecemos recompensas em dinheiro até mais de 50 000 USDT. Os critérios de avaliação baseiam-se no CVSS v3.1 e nos padrões de segurança do setor cripto:
| Nível de risco | Recompensa (USDT) | SLA de triagem inicial | Exemplos típicos de vulnerabilidade |
|---|---|---|---|
| 🚨 Crítica (Critical) | $5000 – $50 000+ | Em menos de 12 horas | Execução remota de código (RCE), transferências ou levantamentos não autorizados a partir dos fundos, fuga de chaves de assinatura críticas, falhas lógicas fatais em contratos inteligentes |
| ⚠️ Alta (High) | $1500 – $5000 | Em menos de 24 horas | Adulteração não autorizada de montantes ou taxas, contorno do mecanismo de autenticação, injeção de SQL, fuga massiva de dados sensíveis |
| 🟡 Média (Medium) | $300 – $1500 | Em menos de 48 horas | XSS armazenado (Cross-Site Scripting), acesso não autorizado a APIs internas sensíveis, escalada de privilégios |
| 🔵 Baixa (Low) | $50 – $300 | 5 dias úteis | CSRF localizado, falhas menores de configuração, armazenamento local sem cifra no cliente, XSS refletido |
🎯 Âmbito autorizado de testes (In-Scope Targets)
Os seguintes domínios e endpoints estão abrangidos pelo âmbito autorizado:
- Site oficial e APIs:
https://*.uupay.com/https://api.uupay.com - Aplicações móveis: aplicação UUPAY para iOS e cliente Android APK
- Contratos inteligentes e camada de liquidação: contratos de custódia on-chain e de depósito/levantamento da UUPAY
⚠️ Atividades fora do âmbito (Out-of-Scope)
- Qualquer forma de ataque de negação de serviço (DoS / DDoS)
- Engenharia social ou phishing dirigidos a colaboradores ou utilizadores da UUPAY
- Ataques físicos, intrusão em equipamentos de escritório ou vulnerabilidades de fornecedores terceiros
📬 Submissão de relatórios e processo de resposta
Envie o seu relatório de segurança para a caixa de correio oficial de resposta de segurança:
security@uupay.com
Ao submeter o relatório, inclua, na medida do possível:
- Nome da vulnerabilidade e o domínio ou endpoint de API concretamente afetado
- Passos detalhados de reprodução (script PoC, capturas dos pedidos HTTP ou gravação de ecrã)
- Avaliação do âmbito do impacto e sugestões de correção
Para os relatórios válidos confirmados, pagamos a recompensa em USDT no prazo de 3 dias úteis, e o autor é convidado a integrar o Hall of Fame de hackers éticos da UUPAY.
Obrigado pelo seu contributo notável para a UUPAY e para a segurança dos pagamentos cripto em todo o mundo!