لمن يكسر عقودنا: 40,000,000 BZPX
برنامج مكافآت أمنية مدفوع يشمل بروتوكولين: مُجمِّع DEX على السلسلة ومحرك staking يفرض الملاءة. يمثل الصندوق 4% من عرض ثابت قدره مليار، وقد خرج من حصة الفريق نفسه لا من المعروض المتداول في السوق — خُفِّضت 113M إلى 93M. الجهة التي يُقتطع منها ميزانية الأمن تقول أكثر مما يقوله حجمها.
ثلاثة أمور نذكرها أولاً، لأنك تستحق أن تقرر وعيناك مفتوحتان.
- • تُدفع المكافآت بعملة BZPX، لا بالعملات المستقرة ولا بـ ETH. العملة ليست سائلة وقت كتابة هذا النص، لذا يمكننا أن نَعِد بالكمية وبالجدول الزمني — لا بالقيمة لحظة المنح.
- • تبدأ المدفوعات بعد October 2026. التقارير مقبولة ويجري فرزها والإقرار باستلامها من الآن. إن لم يناسبك هذا التوقيت، فالانتظار خيار معقول تماماً — النطاق لن يذهب إلى أي مكان.
- • تحديد درجة الخطورة تقديرٌ من جانبنا، وسنعرض تعليلنا. وحيث نختلف مع تقييمك، نوضح السبب كتابةً بدلاً من خفض الدرجة في صمت.
المكافآت
سرقة مباشرة أو تجميد دائم لأموال المستخدمين؛ حالة إعسار يمكن الوصول إليها.
سرقة في ظروف محددة، أو إعادة توزيع تدفع بشكل منهجي إلى الطرف الخطأ.
إزعاج متعمد، أو حجب خدمة مؤقت، أو بقايا قابلة للاسترداد تصل إلى الطرف الخطأ.
أثر مُثبَت أدنى مما سبق.
يجب أن يكون التقرير غير معروف لنا من قبل، وأن يُثبت أثراً بدلاً من وصف قلق نظري. تُحسم التقارير المكررة بالطابع الزمني لأول تقرير وارد.
النطاق
داخل النطاق: عقود مُجمِّع DEX — Router وSolver وHub وQuoter وCore — ومحرك staking، أي BlazePhoenixStaking وBlazePhoenixMathLib. خارج النطاق: مجمّعات السيولة والعملات والجسور ومزودو RPC من أطراف ثالثة — لكن أي ثغرة في طريقة استهلاك عقودنا لها تقع داخل النطاق.
السياسة الكاملة وفهرس الثوابت: DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · staking — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md
أين تُحدث التقارير أكبر أثر
كلا البروتوكولين مبنيان على ثوابت ويفشلان في الوضع المغلق، لذا فإن أثمن التقارير هي التي تُبطل ثابتاً معلناً، لا التي تجد حافة خشنة. في المُجمِّع يعني ذلك مساراً ينحرف فيه المخرج المُسعَّر عن التنفيذ، أو يمكن فيه اشتقاق وزن المسار من حالة مجمّع مُبلَّغ عنها ذاتياً، أو يمكن فيه تجاوز الحد الأدنى المقيس.
في محرك staking، انتبه جيداً لهذا: لا يلزم أن تكسر النتيجة مبدأ الحفظ لتكون حرجة. قد يتوازن الحارس حتى آخر wei في كل كتلة ومع ذلك يسلّم المال إلى الشخص الخطأ — ستة من العيوب السبعة التي أُفصح عنها سابقاً كانت إعادة توزيع خالصة، والإجماليات لم تتغير قط. إذا أظهر تقريرك ذلك، فلا تخفض درجته بنفسك لأن الدفاتر ما زالت متوازنة. هذه بالضبط هي الفئة التي نرغب في سماعها أكثر من غيرها.
كيفية الإبلاغ
بشكل خاص، إلى contact@blazephoenix.xyz — لا عبر issue علني أبداً. أدرج الأثر، والعقد المتأثر، وfile:line حيثما أمكن، وproof-of-concept بأدنى حد أو شروط إعادة الإنتاج الدقيقة، وتقييمك أنت لدرجة الخطورة. نهدف إلى الإقرار بالاستلام خلال 72 hours وإبقائك على اطلاع طوال الفرز والمعالجة.
جهة اتصال قابلة للقراءة آلياً: /.well-known/security.txt (RFC 9116).
الإسناد
النتائج الصحيحة وغير المعروفة سابقاً يُنسب الفضل فيها بالاسم أو اللقب الذي تختاره، بموافقتك، سواء انطبقت مكافأة أم لا. هذا ليس وعداً جديداً: باحثون خارجيون مذكورون بالفعل في سجل المستودع عن نتائج شكّلت العقود العاملة اليوم.
كم تدفع مكافآت ثغرات BlazePhoenix؟
خُصِّص 40,000,000 BZPX إجمالاً — أي 4% من عرض ثابت قدره 1,000,000,000. النتيجة الحرجة تدفع من 2,000,000 إلى 6,000,000 BZPX، والعالية من 500,000 إلى 2,000,000، والمتوسطة من 100,000 إلى 500,000، والمنخفضة حتى 100,000. الصندوق مشترك بين مُجمِّع DEX ومحرك staking.
متى تُدفع مكافآت البرنامج؟
تبدأ تسوية المكافآت بعد October 2026. التقارير مقبولة ويجري فرزها والإقرار باستلامها من الآن، والهدف هو الإقرار خلال 72 hours. إن لم يناسب هذا الجدول باحثاً ما، فالانتظار خيار معقول — النطاق لن يذهب إلى أي مكان.
بأي عملة تُدفع المكافآت؟
تُدفع المكافآت بعملة BZPX، لا بالعملات المستقرة ولا بـ ETH. BZPX ليست سائلة وقت كتابة هذا النص، لذا يلتزم البرنامج بكمية العملات وبالجدول الزمني، ولا يَعِد بما ستساويه تلك الكمية عند منحها. يُقال هذا مقدماً بدلاً من اكتشافه لاحقاً.
ما الذي يقع داخل نطاق مكافآت ثغرات BlazePhoenix؟
عقود مُجمِّع DEX على السلسلة (Router وSolver وHub وQuoter وCore) ومحرك staking (BlazePhoenixStaking وBlazePhoenixMathLib). مجمّعات السيولة والعملات والجسور ومزودو RPC من أطراف ثالثة خارج النطاق — لكن أي ثغرة في طريقة استهلاك هذه العقود لها تقع داخل النطاق.
هل يجب أن تكسر النتيجة الملاءة لتُعد حرجة؟
لا. في محرك staking قد يعمل حارس الحفظ على أكمل وجه بينما تذهب القيمة إلى الطرف الخطأ — ستة من العيوب السبعة التي أُفصح عنها سابقاً كانت إعادة توزيع خالصة، والإجماليات لم تتغير من البداية إلى النهاية. التقرير الذي يُثبت هذه الفئة لا ينبغي خفض درجته بحجة أن الدفاتر ما زالت متوازنة.