IOST セキュリティ & バグバウンティプログラム

本プログラムは、以下のIOST公式プロジェクトおよびプロダクトを対象とします：

ウェブサイトの対象範囲には、上記の機能を直接支えるIOST管理下のバックエンドAPIが含まれます。

ブリッジまたはキャンペーンのスマートコントラクトに関する報告では、ネットワーク、コントラクトアドレス、および公式プロダクトとの関連を明記する必要があります。当該コントラクトが対象範囲に含まれるかどうかはIOSTチームが確認します。不明な場合は、テストを行う前にお問い合わせください。

第三者の取引所、ウォレット、エコシステムプロジェクト、およびIOSTが管理していないサービスは、本プログラムの対象外です。IOST公式ウェブサイトからリンクされていることをもって、第三者のシステムが自動的に対象範囲に含まれることはありません。

以下のような、実質的なセキュリティ上の影響を示す報告を歓迎します：

• 不正な資産移転、資産の恒久的な凍結、またはブリッジ資産の不適切な解放。
• トランザクションのリプレイ、署名検証の欠陥、認可のバイパス、コンセンサスの脆弱性。
• クロスチェーンメッセージ検証の欠陥、重複実行、またはメッセージの偽造。
• エアドロップ、ステーキング、その他のキャンペーンに影響する、報酬の重複請求や不正請求、報酬計算の誤り、資格検証の欠陥。
• 報酬の損失につながる可能性のある、紹介機能またはビジネスロジックの脆弱性。
• アカウント乗っ取り、機密情報の漏えい、インジェクション、リモートコード実行、および影響が実証されたクロスサイトスクリプティング（XSS）。
• ノード、エクスプローラー、または公式サービスを妨害し得るセキュリティ上の欠陥。

以下の内容を含めてください：

1. 01概要

   脆弱性の種類、影響を受ける機能、および想定される影響。

2. 02対象

   URL、APIエンドポイント、コードのバージョンまたはコミット。スマートコントラクトの場合は、ネットワークとコントラクトアドレスを含めてください。

3. 03再現資料

   明確な再現手順と最小限の概念実証（PoC）、またはその他の十分な証拠。

4. 04テスト環境

   使用したローカル環境、隔離環境、または明示的に許可された環境を明記してください。

5. 05裏付け資料

   機密情報を除去した関連ログ、スクリーンショット、またはトランザクション記録。

6. 06連絡先

   当チームがフォローアップするための情報。修正案のご提案は歓迎しますが、任意です。

• ソースコード、ノード、スマートコントラクトのテストは、可能な限りローカル環境または隔離された環境で実施してください。
• メインネット、公開テストネット、稼働中のウェブサイト、API、またはデプロイ済みのコントラクトに対する能動的な脆弱性テストには、IOSTによる事前の書面での許可が必要であり、合意された範囲内で行う必要があります。
• 他のユーザーの資産へのアクセスや移転、報酬の重複請求、他のユーザーのデータの改ざん、不必要な個人情報の取得は行わないでください。
• サービス拒否（DoS）攻撃、負荷テスト、大規模な自動スキャン、フィッシング、ソーシャルエンジニアリングは行わないでください。
• 予期せず機密データに遭遇した場合、追加の権限を取得した場合、またはサービス障害を引き起こした場合は、直ちにテストを中止し、必要最小限のマスキング済みの証拠のみを保持したうえで、問題を報告してください。
• 報告は指定のメールアドレスを通じて非公開で提出し、修正とユーザー保護のための合理的な期間を確保できるよう、IOSTと開示について調整してください。

本プログラムの要件を満たし、検証された報告には、標準報酬プログラムに基づき、固有の脆弱性1件につき最大500 USDTが支払われる場合があります。

重大な脆弱性については、個別の評価および予算承認を経て、1,000 USDTを超える報酬が支払われる場合があります。より高額な報酬が保証されるものではありません。

報酬は以下の基準に基づいて評価されます：

• 実証されたセキュリティ上の影響と深刻度。
• 悪用可能性、攻撃の前提条件、および影響範囲。
• 報告の完成度、証拠の質、および再現性。
• テストの許可および協調的な開示に関する要件の遵守。

原則として、これまで知られていなかった脆弱性について、十分に詳細かつ再現可能な最初の報告のみが報酬の対象となります。

複数のページ、API、またはプロダクトに影響する単一の根本原因は、原則として1件の脆弱性として評価されます。根本原因が独立している問題は、個別に評価される場合があります。

以下は原則として報酬の対象外です：

IOSTは提出された報告を審査し、必要に応じて追加情報を求め、報告者と連携して検証、修正、開示を調整します。

報告者の同意がある場合、IOSTは協調的な開示の完了後に、報告者の貢献を公に謝辞として掲載することがあります。

本ポリシーは公開時点から効力を生じ、過去に提出された報告に適用される条件を遡って変更するものではありません。