Chương trình Bug Bounty (Chính sách công bố lỗ hổng phối hợp và phần thưởng cho hacker mũ trắng)
Chào mừng bạn đến với Trung tâm Ứng phó Bảo mật UUPAY (UUPAY Security Response Center, USRC)!
Là nền tảng thanh toán và dịch vụ thẻ tiền mã hóa hàng đầu thế giới, UUPAY luôn đặt an toàn tài sản người dùng, bảo vệ quyền riêng tư và năng lực phòng thủ của kiến trúc nền tảng lên hàng đầu. Chúng tôi trân trọng mời các chuyên gia an ninh mạng, nhà nghiên cứu mũ trắng và cộng đồng bảo mật trên toàn cầu cùng chúng tôi duy trì một hạ tầng thanh toán tiền mã hóa an toàn, minh bạch và vững chắc.
🛡️ Cam kết bảo vệ nghiên cứu bảo mật tuân thủ Chúng tôi hoàn toàn ủng hộ các hoạt động nghiên cứu bảo mật tuân theo nguyên tắc Công bố có trách nhiệm (Responsible Disclosure). Miễn là bạn tuân thủ chính sách này và không công khai lỗ hổng chưa được vá khi chưa được phép, UUPAY cam kết không truy cứu trách nhiệm pháp lý đối với các nhà nghiên cứu tuân thủ.
💰 Phân loại mức độ và tiêu chuẩn phần thưởng
Dựa trên mức độ nguy hiểm, độ khó khai thác và phạm vi ảnh hưởng, chúng tôi trao thưởng tiền mặt lên đến hơn 50.000 USDT. Tiêu chí đánh giá tham chiếu CVSS v3.1 và các chuẩn bảo mật trong lĩnh vực tiền mã hóa:
| Mức độ rủi ro | Phần thưởng (USDT) | SLA xác nhận sơ bộ | Ví dụ lỗ hổng điển hình |
|---|---|---|---|
| 🚨 Nghiêm trọng (Critical) | $5.000 – $50.000+ | Trong vòng 12 giờ | Thực thi mã từ xa (RCE), chuyển/rút tiền vượt quyền từ quỹ, rò rỉ khóa ký lõi, lỗi logic chí mạng trong hợp đồng thông minh |
| ⚠️ Cao (High) | $1.500 – $5.000 | Trong vòng 24 giờ | Sửa đổi trái phép số tiền hoặc mức phí giao dịch, vượt qua cơ chế xác thực, SQL injection, rò rỉ hàng loạt dữ liệu nhạy cảm |
| 🟡 Trung bình (Medium) | $300 – $1.500 | Trong vòng 48 giờ | XSS lưu trữ (Cross-Site Scripting), truy cập trái phép API quản trị nhạy cảm, leo thang đặc quyền |
| 🔵 Thấp (Low) | $50 – $300 | 5 ngày làm việc | CSRF cục bộ, sai sót cấu hình nhẹ, lưu dữ liệu cục bộ không mã hóa trên máy khách, XSS phản chiếu |
🎯 Phạm vi được phép kiểm thử (In-Scope Targets)
Các tên miền và điểm cuối sau nằm trong phạm vi được phép kiểm thử:
- Website chính thức và API:
https://*.uupay.com/https://api.uupay.com - Ứng dụng di động: ứng dụng UUPAY iOS và Android APK
- Hợp đồng thông minh và lớp thanh toán bù trừ: hợp đồng lưu ký on-chain và nạp/rút của UUPAY
⚠️ Hành vi không được phép (Out-of-Scope)
- Mọi hình thức tấn công từ chối dịch vụ (DoS / DDoS)
- Tấn công phi kỹ thuật (social engineering) hoặc lừa đảo (phishing) nhắm vào nhân viên hay người dùng UUPAY
- Tấn công vật lý, xâm nhập thiết bị văn phòng, hoặc lỗ hổng của nhà cung cấp dịch vụ bên thứ ba
📬 Quy trình gửi báo cáo và phản hồi
Vui lòng gửi báo cáo bảo mật của bạn đến hộp thư ứng phó bảo mật chính thức:
security@uupay.com
Khi gửi báo cáo, vui lòng cung cấp đầy đủ nhất có thể:
- Tên lỗ hổng, tên miền hoặc điểm cuối API cụ thể bị ảnh hưởng
- Các bước tái hiện chi tiết (mã PoC, ảnh chụp gói tin HTTP hoặc video quay màn hình)
- Đánh giá phạm vi ảnh hưởng và đề xuất phương án khắc phục
Với các báo cáo hợp lệ được xác nhận, chúng tôi sẽ chi trả phần thưởng USDT trong vòng 3 ngày làm việc, và người báo cáo sẽ được mời vào Bảng vinh danh hacker mũ trắng UUPAY (Hall of Fame).
Cảm ơn những đóng góp xuất sắc của bạn cho UUPAY và cho an toàn thanh toán tiền mã hóa toàn cầu!