โครงการ Bug Bounty (นโยบายการเปิดเผยช่องโหว่แบบประสานงานและรางวัลสำหรับแฮกเกอร์หมวกขาว)
ยินดีต้อนรับสู่ ศูนย์รับมือด้านความปลอดภัยของ UUPAY (UUPAY Security Response Center, USRC)!
ในฐานะแพลตฟอร์มการชำระเงินและบริการบัตรคริปโตชั้นนำระดับโลก UUPAY ให้ความสำคัญสูงสุดกับความปลอดภัยของสินทรัพย์ผู้ใช้ การคุ้มครองความเป็นส่วนตัว และขีดความสามารถในการป้องกันของสถาปัตยกรรมพื้นฐานเสมอมา เราขอเชิญผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ นักวิจัยหมวกขาว และพันธมิตรในชุมชนความปลอดภัยทั่วโลก ร่วมกับเราในการดูแลโครงสร้างพื้นฐานการชำระเงินคริปโตที่ปลอดภัย โปร่งใส และแข็งแกร่ง
🛡️ คำมั่นสัญญาคุ้มครองการวิจัยด้านความปลอดภัยที่ปฏิบัติตามนโยบาย เราสนับสนุนอย่างเต็มที่ต่อการวิจัยด้านความปลอดภัยที่ยึดหลัก การเปิดเผยอย่างมีความรับผิดชอบ (Responsible Disclosure) ตราบใดที่ท่านปฏิบัติตามนโยบายนี้และไม่เปิดเผยช่องโหว่ที่ยังไม่ได้รับการแก้ไขต่อสาธารณะโดยไม่ได้รับอนุญาต UUPAY ขอให้คำมั่นว่าจะไม่ดำเนินการทางกฎหมายกับนักวิจัยที่ปฏิบัติตามนโยบาย
💰 การจัดระดับช่องโหว่และเกณฑ์รางวัล
ตามระดับความรุนแรง ความยากในการโจมตี และขอบเขตผลกระทบ เรามอบรางวัลเงินสดสูงสุด มากกว่า 50,000 USDT เกณฑ์การประเมินอ้างอิง CVSS v3.1 และมาตรฐานความปลอดภัยด้านคริปโต
| ระดับความเสี่ยง | รางวัล (USDT) | SLA ตรวจสอบเบื้องต้น | ตัวอย่างช่องโหว่ทั่วไป |
|---|---|---|---|
| 🚨 วิกฤต (Critical) | $5,000 – $50,000+ | ภายใน 12 ชั่วโมง | การรันโค้ดจากระยะไกล (RCE), การโอนหรือถอนเงินจากกองทุนโดยไม่มีสิทธิ์, การรั่วไหลของกุญแจลงนามหลัก, ข้อบกพร่องเชิงตรรกะร้ายแรงในสัญญาอัจฉริยะ |
| ⚠️ สูง (High) | $1,500 – $5,000 | ภายใน 24 ชั่วโมง | การแก้ไขจำนวนเงินหรืออัตราค่าธรรมเนียมโดยไม่มีสิทธิ์, การข้ามกลไกยืนยันตัวตน, SQL Injection, การรั่วไหลของข้อมูลอ่อนไหวจำนวนมาก |
| 🟡 ปานกลาง (Medium) | $300 – $1,500 | ภายใน 48 ชั่วโมง | Stored XSS (Cross-Site Scripting), การเข้าถึง API หลังบ้านที่อ่อนไหวโดยไม่ได้รับอนุญาต, การยกระดับสิทธิ์ |
| 🔵 ต่ำ (Low) | $50 – $300 | 5 วันทำการ | CSRF เฉพาะจุด, ข้อบกพร่องการตั้งค่าเล็กน้อย, การจัดเก็บข้อมูลบนเครื่องผู้ใช้โดยไม่เข้ารหัส, Reflected XSS |
🎯 ขอบเขตที่อนุญาตให้ทดสอบ (In-Scope Targets)
โดเมนและปลายทางต่อไปนี้อยู่ในขอบเขตที่อนุญาตให้ทดสอบ
- เว็บไซต์ทางการและ API:
https://*.uupay.com/https://api.uupay.com - แอปพลิเคชันมือถือ: แอป UUPAY บน iOS และไคลเอนต์ Android APK
- สัญญาอัจฉริยะและชั้นชำระบัญชี: สัญญาการรับฝากออนเชนและการฝาก-ถอนของ UUPAY
⚠️ การกระทำที่ไม่อนุญาต (Out-of-Scope)
- การโจมตีแบบปฏิเสธการให้บริการทุกรูปแบบ (DoS / DDoS)
- วิศวกรรมสังคมหรือฟิชชิงที่มุ่งเป้าไปยังพนักงานหรือผู้ใช้ของ UUPAY
- การโจมตีทางกายภาพ การบุกรุกอุปกรณ์สำนักงาน หรือช่องโหว่ของผู้ให้บริการภายนอก
📬 ขั้นตอนการส่งรายงานและการตอบสนอง
โปรดส่งรายงานด้านความปลอดภัยของท่านมาที่อีเมลรับมือด้านความปลอดภัยอย่างเป็นทางการ
security@uupay.com
เมื่อส่งรายงาน โปรดระบุข้อมูลต่อไปนี้ให้ครบถ้วนที่สุด
- ชื่อช่องโหว่ พร้อมโดเมนหรือปลายทาง API ที่ได้รับผลกระทบโดยเฉพาะ
- ขั้นตอนการทำซ้ำโดยละเอียด (สคริปต์ PoC, ภาพจับแพ็กเก็ต HTTP หรือวิดีโอบันทึกหน้าจอ)
- การประเมินขอบเขตผลกระทบและข้อเสนอแนะแนวทางแก้ไข
สำหรับรายงานที่ได้รับการยืนยันว่าเป็นช่องโหว่ที่ถูกต้อง เราจะโอนรางวัล USDT ภายใน 3 วันทำการ และผู้รายงานจะได้รับเชิญเข้าสู่ หอเกียรติยศแฮกเกอร์หมวกขาวของ UUPAY (Hall of Fame)
ขอบคุณสำหรับการมีส่วนร่วมอันโดดเด่นของท่านต่อ UUPAY และต่อความปลอดภัยของการชำระเงินคริปโตทั่วโลก!