Bybit tem um programa de recompensas de bugs?

Sim, Bybit tem um programa de recompensas de bugs. Se você notar uma vulnerabilidade na Bybit e quiser obter uma recompensa por bug, consulte as etapas abaixo:

Primeiro passo: Consolide todas as suas descobertas em um formato limpo e organizado. Fornecer GIFs ou gravações de vídeo do bug será muito apreciado.

Segundo passo: Envie seu relatório de segurança e descobertas através deste formulário e selecione a opção API Trading / Reportar uma Vulnerabilidade de Segurança.

Para gravações de vídeo, faça o upload para o Google Drive e envie-nos o link compartilhável. Para obter mais informações sobre como fazê-lo, visite aqui.

 

 

Qual é a recompensa de bug dada quando uma vulnerabilidade é encontrada?

Consulte a tabela abaixo para obter a recompensa de bugs disponível com base no nível da vulnerabilidade detectada.
 

 

 

 

Como são definidos os vários níveis de bugs/vulnerabilidades? 

Consulte a lista abaixo para obter mais informações:
 

Vulnerabilidades críticas

Uma vulnerabilidade crítica se refere a uma vulnerabilidade que ocorre no sistema de negócios principal (sistema de controle principal, controle de campo, sistema de distribuição de negócios, fortress machine ou outro local de controle que possa gerir um grande número de sistemas). Esse tipo de vulnerabilidades podem causar um grave impacto, obter acesso ao controle do sistema de negócios (dependendo da situação corrente) ou obter acesso à equipe de gerenciamento do sistema principal e até mesmo controlar o sistema principal.

 

Dentre outras coisas, uma vulnerabilidade crítica pode resultar em:

• Acesso de vários dispositivos à rede interna
• Acesso de super administrador no back-end principal, vazamento de dados principais da empresa e causar um grave impacto
• Excesso de contratos inteligentes e vulnerabilidade à concorrência condicional

 

Vulnerabilidades de alto risco

• Obtenção de acesso ao sistema (getshell, execução de comandos, etc.)
• Injeção de SQL no sistema (degradação de vulnerabilidade de back-end, priorização de envio de pacotes conforme adequado)
• Obtenção de acesso não autorizado a informações confidenciais, que incluem mas não se limitam a acesso direto ao histórico da administração contornando a autenticação, senhas de back-end passíveis de ataque de força bruta ou obtenção de SSRF de informações confidenciais na rede interna, etc.
• Leitura de documentos arbitrários
• Vulnerabilidade de XXE que pode acessar qualquer informação
• Operação não autorizada que envolve desvio de dinheiro ou da lógica de pagamento (precisa ser utilizada de forma bem-sucedida)
• Defeitos lógicos graves de projeto e defeitos do processo. Isso inclui, dentre outras coisas, vulnerabilidade de login de qualquer usuário, vulnerabilidade de modificação em massa de senhas de contas, vulnerabilidade da lógica do sistema envolvendo os principais negócios da empresa, etc., com exceção dos detalhes do código de verificação
• Outras vulnerabilidades que afetam os usuários em grande escala. Essas vulnerabilidades incluem, dentre outras coisas, o armazenamento de XSS que pode ser automaticamente propagado em páginas importantes, e o armazenamento de XSS que pode acessar informações sobre autenticação de administrador e pode ser utilizada de forma bem-sucedida
• Vazamento do código fonte
• Defeitos no controle de permissões no contrato inteligente

 

Vulnerabilidades de médio risco

• Trata-se de uma vulnerabilidade que pode afetar os usuários através de interação, que inclui, dentre outras coisas, armazenamento de XSS em páginas gerais, CSRF envolvendo os negócios principais, etc.
• Operação geral não autorizada que, entre outras coisas, modifica os dados dos usuários e desempenha operações do usuário ignorando as restrições
• Vulnerabilidades de negação de serviço, que incluem, dentre outras coisas, vulnerabilidades de negação de serviço remoto causadas pela negação de serviço de aplicativos web
• Vulnerabilidades causadas por um detalhamento bem-sucedido com a operação de sistema confidencial, como qualquer login de conta e acesso com utilização de senhas, etc., devido a defeitos lógicos do código de verificação
• Vazamento de informações confidenciais armazenadas localmente sobre a chave de autenticação, que precisam estar disponíveis para uso eficaz

 

Vulnerabilidades de baixo risco

• As vulnerabilidades locais de negação de serviço incluem, dentre outras coisas, negação de serviço local de cliente (analisando formatos de arquivo e falhas geradas por protocolos de rede), problemas causados pela exposição da permissão do componente Android, acesso geral ao aplicativo, etc.
• Vazamento de informações gerais, como passagem de caminho da web, passagem de caminho do sistema, pesquisa no diretório, etc., dentre outras
• XSS (inclui DOM XSS/XSS refletido)
• CSRF geral
• Vulnerabilidade de omissão na URL
• Bombardeio de SMS, bombardeio de correspondências (cada sistema só aceita um tipo dessa vulnerabilidade).
• Outras vulnerabilidades que são menos prejudiciais (e não podem ser comprovadas, como a vulnerabilidade de CORS, que não consegue acessar informações confidenciais)
• Nenhum valor de retorno e nenhum uso aprofundado de SSRF bem-sucedido

 

Vulnerabilidades que não são aceitas no momento (mesmo que esse tipo vulnerabilidade seja enviado, ele será ignorado)

• Falsificação de e-mail
• Vulnerabilidade de enumeração do usuário
• Self-XSS e injeção de HTML
• Páginas da web sem CSP e políticas de segurança de SRI
• Problemas de CSRF em operações não confidenciais
• Um problema à parte relativo ao app Android android:allowBackup=”true”, no qual o serviço é negado localmente, etc. (com exceção do uso aprofundado)
• Problemas como alterar o tamanho da imagem, causar solicitações lentas, etc.
• Problemas de vazamento de versão, como NGINX, etc.
• Alguns bugs funcionais que não constituem um problema de risco à segurança
• Ataque físico na Bybit/ ataque de engenharia social aos funcionários da Bybit

 

Comportamentos proibidos

• Utilização de engenharia social e/ou envolvimento em phishing
• Vazamento de detalhes de uma vulnerabilidade
• Os testes de vulnerabilidade são limitados à PoC (proof of concept - prova de conceito) e os testes destrutivos são estritamente proibidos. Se algum dano for causado de forma inadvertida durante os testes deve ser informado em tempo hábil. Enquanto isso, operações confidenciais realizadas durante o teste, como exclusão, modificação e outras operações, devem ser explicadas no relatório.
• Utilização de um scanner para digitalização em grande escala. Se o sistema ou a rede de negócios se tornar indisponível, a questão será tratada de acordo com a legislação aplicável.
• Quem testar a vulnerabilidade deve tentar evitar modificar a página diretamente, continuar a fazer aparecer a caixa de mensagem (o DNSLog é recomendado para a verificação de XSS), roubar cookies e/ou obter um payload agressivo, como informações do usuário (para testes de XSS cego, use DNSLog). Se você utilizar um payload mais agressivo acidentalmente, apague-o imediatamente. Caso contrário, teremos o direito de buscar as obrigações legais relacionadas.