Güvenlik Açığı Ödül Programı (Koordineli Açıklama Politikası ve Beyaz Şapkalı Hacker Ödülleri)
UUPAY Güvenlik Müdahale Merkezi’ne (UUPAY Security Response Center, USRC) hoş geldiniz!
Dünyanın önde gelen kripto ödeme ve kart hizmetleri platformu olarak UUPAY, kullanıcı varlıklarının güvenliğini, gizliliğin korunmasını ve altyapı savunmasını her zaman ilk sıraya koyar. Dünyanın dört bir yanındaki siber güvenlik uzmanlarını, beyaz şapkalı araştırmacıları ve güvenlik topluluğu ortaklarını, güvenli, şeffaf ve sağlam bir kripto ödeme altyapısını birlikte korumaya içtenlikle davet ediyoruz.
🛡️ Kurallara uygun güvenlik araştırmaları için koruma taahhüdü Sorumlu açıklama (Responsible Disclosure) ilkelerine uyan güvenlik araştırmalarını tümüyle destekliyoruz. Bu politikaya uyduğunuz ve henüz giderilmemiş açıkları önceden izin almadan kamuya duyurmadığınız sürece UUPAY, kurallara uyan araştırmacılara karşı hiçbir yasal işlem başlatmamayı taahhüt eder.
💰 Risk seviyeleri ve ödül ölçütleri
Ciddiyet derecesine, istismar zorluğuna ve etki alanına göre 50.000 USDT ve üzerine varan nakit ödüller sunuyoruz. Değerlendirme ölçütlerimiz CVSS v3.1 ile kripto sektörünün güvenlik standartlarına dayanır:
| Risk seviyesi | Ödül tutarı (USDT) | İlk inceleme SLA’si | Tipik açık örnekleri |
|---|---|---|---|
| 🚨 Kritik (Critical) | 5.000 – 50.000+ $ | 12 saat içinde | Uzaktan kod çalıştırma (RCE), fon havuzundan yetkisiz transfer veya çekim, kritik imza anahtarlarının sızması, akıllı sözleşmelerde ölümcül mantık hataları |
| ⚠️ Yüksek (High) | 1.500 – 5.000 $ | 24 saat içinde | Tutar veya komisyonların yetkisiz değiştirilmesi, kimlik doğrulama mekanizmasının atlatılması, SQL enjeksiyonu, hassas verilerin toplu sızması |
| 🟡 Orta (Medium) | 300 – 1.500 $ | 48 saat içinde | Depolanmış XSS (Cross-Site Scripting), hassas iç API’lere yetkisiz erişim, yetki yükseltme |
| 🔵 Düşük (Low) | 50 – 300 $ | 5 iş günü | Yerel CSRF, küçük yapılandırma hataları, istemcide şifrelenmemiş yerel depolama, yansımalı XSS |
🎯 Test için yetkilendirilmiş kapsam (In-Scope Targets)
Aşağıdaki alan adları ve uç noktalar yetkilendirilmiş test kapsamındadır:
- Resmî web sitesi ve API’ler:
https://*.uupay.com/https://api.uupay.com - Mobil uygulamalar: UUPAY iOS uygulaması ve Android APK istemcisi
- Akıllı sözleşmeler ve mutabakat katmanı: UUPAY zincir üstü emanet ve para yatırma/çekme sözleşmeleri
⚠️ Kapsam dışı davranışlar (Out-of-Scope)
- Her türlü hizmet dışı bırakma saldırısı (DoS / DDoS)
- UUPAY çalışanlarını veya kullanıcılarını hedef alan sosyal mühendislik ve oltalama
- Fiziksel saldırılar, ofis ekipmanlarına sızma veya üçüncü taraf tedarikçi açıkları
📬 Rapor gönderimi ve müdahale süreci
Güvenlik raporunuzu resmî güvenlik müdahale adresimize gönderin:
security@uupay.com
Raporunuzda mümkün olduğunca şunlara yer verin:
- Açığın adı ile etkilenen alan adı veya API uç noktası
- Ayrıntılı yeniden üretme adımları (PoC betiği, HTTP istek ekran görüntüleri veya ekran kaydı)
- Etki alanı değerlendirmesi ve düzeltme önerileri
Geçerliliği doğrulanan raporlar için ödülü 3 iş günü içinde USDT olarak ödüyor ve sizi UUPAY Beyaz Şapkalı Onur Listesi’ne davet ediyoruz.
UUPAY’e ve dünya genelinde kripto ödeme güvenliğine yaptığınız değerli katkı için teşekkür ederiz!