আমাদের কনট্র্যাক্ট ভাঙার জন্য: 40,000,000 BZPX
দুটি প্রোটোকল জুড়ে একটি অর্থপ্রদত্ত নিরাপত্তা বাউন্টি: একটি অন-চেইন DEX অ্যাগ্রিগেটর এবং সচ্ছলতা বাধ্যতামূলক করা একটি স্টেকিং ইঞ্জিন। এই তহবিল একশো কোটির নির্দিষ্ট সরবরাহের 4%, এবং এটি বাজারে চালু অংশ থেকে নয়, টিমের নিজস্ব বরাদ্দ থেকেই এসেছে — 113M কমিয়ে 93M করা হয়েছে। নিরাপত্তা বাজেট কোন পকেট থেকে আসে, তা তার আকারের চেয়ে বেশি কিছু বলে।
তিনটি কথা আগেই বলা হচ্ছে, কারণ আপনি চোখ খোলা রেখে সিদ্ধান্ত নেওয়ার অধিকার রাখেন।
- • পুরস্কার স্টেবলকয়েন বা ETH-তে নয়, BZPX-এ দেওয়া হয়। লেখার সময় এই টোকেন তরল নয়, তাই আমরা পরিমাণ ও সময়সূচির প্রতিশ্রুতি দিতে পারি — প্রদানের মুহূর্তে তার মূল্যের নয়।
- • পরিশোধ শুরু হবে October 2026-এর পরে। রিপোর্ট এখন থেকেই গৃহীত, শ্রেণিবদ্ধ এবং প্রাপ্তিস্বীকৃত হচ্ছে। এই সময়সূচি আপনার উপযোগী না হলে অপেক্ষা করা সম্পূর্ণ যুক্তিসঙ্গত — পরিধি কোথাও যাচ্ছে না।
- • তীব্রতা নির্ধারণ আমাদের মূল্যায়ন, এবং আমরা আমাদের যুক্তি দেখাব। যেখানে আমরা আপনার রেটিংয়ের সঙ্গে একমত নই, সেখানে নীরবে নামিয়ে দেওয়ার বদলে লিখিতভাবে কারণ জানাব।
পুরস্কার
ব্যবহারকারীর তহবিলের সরাসরি চুরি বা স্থায়ীভাবে আটকে যাওয়া; পৌঁছানো সম্ভব এমন একটি অসচ্ছল অবস্থা।
নির্দিষ্ট পরিস্থিতিতে চুরি, অথবা এমন পুনর্বণ্টন যা নিয়মিতভাবে ভুল পক্ষকে পরিশোধ করে।
গ্রিফিং, সাময়িক সেবা-বিঘ্ন, বা পুনরুদ্ধারযোগ্য অবশিষ্টাংশ ভুল পক্ষের কাছে পৌঁছানো।
উপরের মাত্রার নিচে প্রদর্শিত প্রভাব।
রিপোর্টটি আমাদের কাছে আগে অজানা হতে হবে এবং তাত্ত্বিক উদ্বেগ বর্ণনার বদলে প্রকৃত প্রভাব প্রদর্শন করতে হবে। একাধিক অভিন্ন রিপোর্টের ক্ষেত্রে প্রথম প্রাপ্ত রিপোর্টের টাইমস্ট্যাম্প অনুযায়ী নিষ্পত্তি হয়।
পরিধি
পরিধির ভেতরে: DEX অ্যাগ্রিগেটরের কনট্র্যাক্টসমূহ — Router, Solver, Hub, Quoter, Core — এবং স্টেকিং ইঞ্জিন, BlazePhoenixStaking ও BlazePhoenixMathLib। পরিধির বাইরে: তৃতীয় পক্ষের পুল, টোকেন, ব্রিজ ও RPC প্রদানকারী — তবে আমাদের কনট্র্যাক্ট সেগুলিকে যেভাবে ব্যবহার করে তাতে কোনো দুর্বলতা থাকলে তা পরিধির ভেতরে।
সম্পূর্ণ নীতি এবং ইনভেরিয়েন্ট তালিকা: DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · staking — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md
রিপোর্ট কোথায় সবচেয়ে জোরে আঘাত করে
দুটি প্রোটোকলই ইনভেরিয়েন্ট-চালিত এবং ব্যর্থ হলে বন্ধ হয়ে যায়, তাই সবচেয়ে মূল্যবান রিপোর্ট সেগুলিই যা কোনো ঘোষিত ইনভেরিয়েন্ট ভেঙে দেয়, রুক্ষ প্রান্ত খুঁজে বের করা রিপোর্ট নয়। অ্যাগ্রিগেটরের ক্ষেত্রে এর অর্থ এমন একটি পথ যেখানে উদ্ধৃত আউটপুট বাস্তব নিষ্পাদন থেকে সরে যায়, যেখানে রুট ওয়েট পুলের নিজের ঘোষিত অবস্থা থেকে নেওয়া যায়, অথবা যেখানে পরিমাপকৃত নিম্নসীমা এড়িয়ে যাওয়া যায়।
স্টেকিং ইঞ্জিনের ক্ষেত্রে এটি মনোযোগ দিয়ে লক্ষ করুন: গুরুতর হওয়ার জন্য কোনো অনুসন্ধানের সংরক্ষণ নীতি ভাঙা আবশ্যক নয়। গার্ড প্রতিটি ব্লকে wei পর্যন্ত মিলে যেতে পারে এবং তবুও টাকা ভুল ব্যক্তির হাতে তুলে দিতে পারে — আগে প্রকাশিত সাতটি ত্রুটির মধ্যে ছয়টি ছিল বিশুদ্ধ পুনর্বণ্টন, যেখানে মোট পরিমাণ কখনও বদলায়নি। আপনার রিপোর্ট যদি সেটাই দেখায়, তবে হিসাব মিলে যাচ্ছে বলে নিজেই তার মাত্রা কমাবেন না। ঠিক এই শ্রেণির কথাই আমরা সবচেয়ে বেশি শুনতে চাই।
কীভাবে রিপোর্ট করবেন
ব্যক্তিগতভাবে, contact@blazephoenix.xyz-এ — কখনও প্রকাশ্য issue-তে নয়। প্রভাব, ক্ষতিগ্রস্ত কনট্র্যাক্ট এবং সম্ভব হলে file:line, একটি ন্যূনতম proof-of-concept বা পুনরুৎপাদনের সঠিক শর্তাবলি, এবং তীব্রতা সম্পর্কে আপনার নিজের মূল্যায়ন অন্তর্ভুক্ত করুন। আমরা 72 hours-এর মধ্যে প্রাপ্তিস্বীকার করার লক্ষ্য রাখি এবং শ্রেণিবিন্যাস ও সংশোধনের পুরো সময় আপনাকে অবহিত রাখি।
যন্ত্র-পাঠযোগ্য যোগাযোগ: /.well-known/security.txt (RFC 9116)।
স্বীকৃতি
বৈধ এবং পূর্বে অজানা অনুসন্ধানের জন্য পুরস্কার প্রযোজ্য হোক বা না হোক, আপনার সম্মতিক্রমে আপনার বেছে নেওয়া নাম বা হ্যান্ডেল দিয়ে স্বীকৃতি দেওয়া হয়। এটি নতুন কোনো প্রতিশ্রুতি নয়: বাইরের গবেষকরা আজ চালু থাকা কনট্র্যাক্টগুলিকে গড়ে তোলা অনুসন্ধানের জন্য ইতিমধ্যেই রিপোজিটরির ইতিহাসে স্বীকৃত।
BlazePhoenix বাগ বাউন্টি কত টাকা দেয়?
মোট 40,000,000 BZPX বরাদ্দ রয়েছে — 1,000,000,000 নির্দিষ্ট সরবরাহের 4%। গুরুতর অনুসন্ধানে 2,000,000 থেকে 6,000,000 BZPX, উচ্চ-তে 500,000 থেকে 2,000,000, মাঝারি-তে 100,000 থেকে 500,000 এবং নিম্ন-তে 100,000 পর্যন্ত দেওয়া হয়। এই তহবিল DEX অ্যাগ্রিগেটর এবং স্টেকিং ইঞ্জিনের মধ্যে ভাগ করা।
বাউন্টির পুরস্কার কখন দেওয়া হয়?
পুরস্কারের নিষ্পত্তি শুরু হয় October 2026-এর পরে। রিপোর্ট এখন থেকেই গৃহীত, শ্রেণিবদ্ধ ও প্রাপ্তিস্বীকৃত হয়, এবং প্রাপ্তিস্বীকারের লক্ষ্য 72 hours-এর মধ্যে। কোনো গবেষকের জন্য এই সময়সূচি উপযোগী না হলে অপেক্ষা করা একটি যুক্তিসঙ্গত সিদ্ধান্ত — পরিধি কোথাও যাচ্ছে না।
পুরস্কার কোন মুদ্রায় দেওয়া হয়?
পুরস্কার স্টেবলকয়েন বা ETH-তে নয়, BZPX-এ দেওয়া হয়। লেখার সময় BZPX তরল নয়, তাই এই কর্মসূচি টোকেনের পরিমাণ এবং সময়সূচির প্রতিশ্রুতি দেয়, এবং প্রদানের সময় সেই পরিমাণের মূল্য কত হবে তা প্রতিশ্রুত হয় না। এটি পরে আবিষ্কৃত হওয়ার বদলে আগেই বলে দেওয়া হচ্ছে।
BlazePhoenix বাগ বাউন্টির পরিধিতে কী কী আছে?
অন-চেইন DEX অ্যাগ্রিগেটর কনট্র্যাক্ট (Router, Solver, Hub, Quoter, Core) এবং স্টেকিং ইঞ্জিন (BlazePhoenixStaking, BlazePhoenixMathLib)। তৃতীয় পক্ষের পুল, টোকেন, ব্রিজ ও RPC প্রদানকারী পরিধির বাইরে — তবে এই কনট্র্যাক্টগুলি সেগুলিকে যেভাবে ব্যবহার করে তাতে কোনো দুর্বলতা থাকলে তা পরিধির ভেতরে।
গুরুতর হিসেবে গণ্য হতে কি কোনো অনুসন্ধানের সচ্ছলতা ভাঙতে হবে?
না। স্টেকিং ইঞ্জিনে সংরক্ষণ গার্ড নিখুঁতভাবে কাজ করতে পারে অথচ মূল্য চলে যেতে পারে ভুল পক্ষের কাছে — আগে প্রকাশিত সাতটি ত্রুটির মধ্যে ছয়টি ছিল বিশুদ্ধ পুনর্বণ্টন, যেখানে মোট পরিমাণ শুরু থেকে শেষ পর্যন্ত অপরিবর্তিত ছিল। সেই শ্রেণি প্রদর্শনকারী রিপোর্টকে হিসাব এখনও মিলছে এই যুক্তিতে নামিয়ে দেওয়া উচিত নয়।