보안 및 버그 바운티

01적용 범위

본 프로그램은 다음 IOST 공식 프로젝트 및 제품을 대상으로 합니다:

제품	상세 정보
IOST L1 블록체인	트랜잭션 검증, 서명, 합의, 권한 부여 및 스마트 컨트랙트 실행을 포함한 IOST L1 노드 구현. https://github.com/iost-official/go-iost
공식 웹사이트	https://iost.io/en
블록체인 익스플로러	IOST L1 익스플로러: https://iostscan.com IOST L2 익스플로러: https://l2-scan.iost.io
크로스체인 브리지	IOST L1 브리지: https://iostbridge.com IOST L2 브리지: https://l2-bridge.iost.io
에어드롭 캠페인	https://iost.io/en/airdrop
스테이킹 보상 캠페인	https://iost.io/en/stakedrop
Signet 보상 캠페인	https://iost.io/en/signet-reward
추천 보상 캠페인	https://iost.io/en/referrals

웹사이트 범위에는 위에 나열된 기능을 직접 지원하며 IOST가 관리하는 백엔드 API가 포함됩니다.

브리지 또는 캠페인 스마트 컨트랙트와 관련된 제보에는 네트워크, 컨트랙트 주소 및 공식 제품과의 연관성을 명시해야 합니다. 해당 컨트랙트의 범위 포함 여부는 IOST 팀이 확인합니다. 확실하지 않은 경우 테스트 전에 먼저 문의해 주세요.

제3자 거래소, 지갑, 생태계 프로젝트 및 IOST가 관리하지 않는 서비스는 본 프로그램의 범위에 포함되지 않습니다. IOST 공식 웹사이트에 링크되어 있다는 사실만으로 제3자 시스템이 자동으로 범위에 포함되지는 않습니다.

다음과 같이 실질적인 보안 영향을 입증하는 제보를 환영합니다:

제보에는 현실적인 공격 조건과 그 결과를 설명해야 합니다. 이론적 가능성만으로는 보상 자격이 인정되지 않습니다.

다음 내용을 포함해 주세요:

개인 키, 시드 문구, 비밀번호 또는 관련 없는 개인 정보는 제출하지 마세요. 노출된 자격 증명을 발견한 경우, 우선 해당 위치와 마스킹 처리된 증거만 제공해 주세요.

보상 범위에 포함되었다고 해서 무제한 테스트가 허용되는 것은 아닙니다.

소스 코드, 노드 및 스마트 컨트랙트 테스트는 가급적 로컬 또는 격리된 환경에서 진행해야 합니다.
메인넷, 공개 테스트넷, 운영 중인 웹사이트, API 또는 배포된 컨트랙트를 대상으로 한 능동적 취약점 테스트는 IOST의 사전 서면 승인이 필요하며, 합의된 범위 내에서만 진행해야 합니다.
다른 사용자의 자산에 접근하거나 이전하지 말고, 보상을 중복 청구하거나 다른 사용자의 데이터를 변경하거나 불필요한 개인 정보를 취득하지 마세요.
서비스 거부(DoS) 공격, 부하 테스트, 대규모 자동 스캔, 피싱 또는 소셜 엔지니어링을 수행하지 마세요.
예기치 않게 민감한 데이터를 발견하거나, 추가 권한을 획득하거나, 서비스 중단을 일으킨 경우 즉시 테스트를 중단하고, 필요한 최소한의 마스킹 처리된 증거만 보관한 뒤 해당 문제를 제보해 주세요.
제보는 지정된 이메일 주소를 통해 비공개로 제출하고, 취약점 수정 및 사용자 보호에 필요한 합리적인 시간을 확보할 수 있도록 IOST와 공개 일정을 조율해 주세요.

본 프로그램의 요건을 충족하는 검증된 제보는 표준 보상 프로그램에 따라 고유 취약점 1건당 최대 500 USDT를 받을 수 있습니다.

치명적인 취약점은 별도의 평가 및 예산 승인을 거쳐 1,000 USDT를 초과하는 보상을 받을 수 있습니다. 더 높은 보상이 보장되는 것은 아닙니다.

보상은 다음 기준에 따라 평가됩니다:

일반적으로 이전에 알려지지 않은 취약점에 대해 충분히 상세하고 재현 가능한 최초의 제보만 보상 대상이 됩니다.

여러 페이지, API 또는 제품에 영향을 미치는 단일 근본 원인은 일반적으로 하나의 취약점으로 평가됩니다. 근본 원인이 서로 독립적인 문제는 별도로 평가될 수 있습니다.

다음은 일반적으로 보상 대상이 아닙니다:

제보를 제출한다고 해서 보상이 보장되는 것은 아닙니다. IOST는 평가 결과와 승인된 보상 금액을 제보자에게 직접 안내합니다. 보상을 받을 지갑 주소와 네트워크는 보상이 승인된 후에만 요청합니다.

IOST는 제출된 제보를 검토하고, 필요한 경우 추가 정보를 요청하며, 제보자와 함께 검증, 수정 및 공개를 조율합니다.

제보자의 동의가 있는 경우, IOST는 공개 조율이 완료된 후 제보자의 기여를 공개적으로 인정할 수 있습니다.

본 정책은 게시 시점부터 효력이 발생하며, 이전에 제출된 제보에 적용되는 조건을 소급하여 변경하지 않습니다.

제보하기

이메일 제목[IOST Security] 영향받는 제품 — 간단한 설명