Fürs Brechen unserer Verträge: 40,000,000 BZPX
Ein bezahltes Sicherheits-Bounty über zwei Protokolle: einen On-Chain-DEX-Aggregator und eine Staking-Engine mit erzwungener Solvenz. Der Topf sind 4% eines festen Angebots von einer Milliarde, und er stammt aus der Allokation des Teams selbst, nicht aus dem Marktfloat — 113M auf 93M reduziert. Aus welchem Topf ein Sicherheitsbudget kommt, sagt mehr aus als seine Größe.
Drei Dinge zuerst, weil Sie mit offenen Augen entscheiden sollen.
- • Belohnungen werden in BZPX ausgezahlt, nicht in Stablecoins oder ETH. Der Token ist zum Zeitpunkt des Schreibens nicht liquide; wir können daher die Menge und den Zeitplan zusagen — nicht den Wert im Moment der Zuteilung.
- • Auszahlungen beginnen nach October 2026. Berichte werden ab sofort angenommen, triagiert und bestätigt. Wenn Ihnen dieser Zeitpunkt nicht passt, ist Warten völlig vernünftig — der Scope läuft nicht davon.
- • Die Schweregrad-Einstufung ist unsere Bewertung, und wir legen unsere Begründung offen. Wo wir Ihrer Einstufung widersprechen, sagen wir schriftlich warum, statt sie stillschweigend herabzustufen.
Belohnungen
Direkter Diebstahl oder dauerhaftes Einfrieren von Nutzergeldern; ein erreichbarer insolventer Zustand.
Diebstahl unter bestimmten Bedingungen oder eine Umverteilung, die systematisch die falsche Partei bezahlt.
Griefing, temporäre Dienstverweigerung oder rückholbarer Restbetrag, der bei der falschen Partei landet.
Nachgewiesene Auswirkung unterhalb des Obigen.
Ein Bericht muss uns bisher unbekannt sein und muss Auswirkung nachweisen, statt eine theoretische Sorge zu beschreiben. Duplikate werden über den Zeitstempel des zuerst eingegangenen Berichts entschieden.
Scope
Im Scope: die Verträge des DEX-Aggregators — Router, Solver, Hub, Quoter, Core — und die Staking-Engine, BlazePhoenixStaking und BlazePhoenixMathLib. Außerhalb des Scope: Pools, Token, Bridges und RPC-Anbieter von Dritten — aber eine Schwachstelle darin, wie unsere Verträge diese konsumieren, ist im Scope.
Vollständige Policy und Invarianten-Katalog: DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · Staking — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md
Wo Berichte am härtesten einschlagen
Beide Protokolle sind invariantengetrieben und scheitern geschlossen; die wertvollsten Berichte sind daher jene, die eine erklärte Invariante aushebeln, und nicht jene, die eine raue Kante finden. Beim Aggregator heißt das: ein Pfad, auf dem der quotierte Output von der Ausführung abweicht, auf dem Routengewicht aus selbstberichtetem Pool-Zustand bezogen werden kann, oder auf dem der gemessene Boden umgangen werden kann.
Bei der Staking-Engine beachten Sie dies genau: Ein Fund muss die Erhaltung nicht brechen, um Kritisch zu sein. Der Guard kann in jedem Block auf den Wei genau aufgehen und trotzdem der falschen Person das Geld übergeben — sechs der sieben zuvor offengelegten Defekte waren reine Umverteilung, wobei sich die Summen nie änderten. Wenn Ihr Bericht das zeigt, stufen Sie ihn nicht selbst herab, nur weil die Bücher weiterhin aufgehen. Genau diese Klasse wollen wir am dringendsten hören.
Wie man meldet
Privat, an contact@blazephoenix.xyz — niemals über ein öffentliches Issue. Nennen Sie die Auswirkung, den betroffenen Vertrag und wo möglich file:line, einen minimalen Proof-of-Concept oder die exakten Reproduktionsbedingungen sowie Ihre eigene Schweregrad-Einschätzung. Wir streben eine Bestätigung innerhalb von 72 hours an und halten Sie über Triage und Behebung auf dem Laufenden.
Maschinenlesbarer Kontakt: /.well-known/security.txt (RFC 9116).
Anerkennung
Gültige, bisher unbekannte Funde werden mit dem von Ihnen gewählten Namen oder Handle und mit Ihrer Zustimmung genannt, unabhängig davon, ob eine Belohnung greift. Das ist kein neues Versprechen: Externe Forscher sind bereits in der Repository-Historie für Funde genannt, die die heute laufenden Verträge geprägt haben.
Wie viel zahlt das BlazePhoenix-Bug-Bounty?
Insgesamt sind 40,000,000 BZPX zugewiesen — 4% eines festen Angebots von 1,000,000,000. Ein Kritischer Fund zahlt 2,000,000 bis 6,000,000 BZPX, Hoch zahlt 500,000 bis 2,000,000, Mittel zahlt 100,000 bis 500,000 und Niedrig zahlt bis zu 100,000. Der Topf wird zwischen dem DEX-Aggregator und der Staking-Engine geteilt.
Wann werden die Bounty-Belohnungen ausgezahlt?
Die Abwicklung der Prämien beginnt nach October 2026. Berichte werden ab sofort angenommen, triagiert und bestätigt, mit einer angestrebten Bestätigung innerhalb von 72 hours. Wenn dieser Zeitplan einem Forscher nicht passt, ist Warten eine vernünftige Wahl — der Scope läuft nicht davon.
In welcher Währung werden die Belohnungen ausgezahlt?
Die Belohnungen werden in BZPX ausgezahlt, nicht in Stablecoins oder ETH. BZPX ist zum Zeitpunkt des Schreibens nicht liquide; das Programm sagt daher die Token-Menge und den Zeitplan zu und verspricht nicht, was diese Menge zum Zeitpunkt der Zuteilung wert sein wird. Das wird vorab gesagt, statt hinterher entdeckt.
Was ist im Scope des BlazePhoenix-Bug-Bounty?
Die On-Chain-Verträge des DEX-Aggregators (Router, Solver, Hub, Quoter, Core) und die Staking-Engine (BlazePhoenixStaking, BlazePhoenixMathLib). Pools, Token, Bridges und RPC-Anbieter von Dritten sind außerhalb des Scope — aber eine Schwachstelle darin, wie diese Verträge sie konsumieren, ist im Scope.
Muss ein Fund die Solvenz brechen, um als Kritisch zu gelten?
Nein. In der Staking-Engine kann der Erhaltungs-Guard einwandfrei arbeiten, während der Wert an die falsche Partei geht — sechs der sieben zuvor offengelegten Defekte waren reine Umverteilung, mit durchgehend unveränderten Summen. Ein Bericht, der diese Klasse nachweist, sollte nicht mit der Begründung herabgestuft werden, dass die Bücher weiterhin aufgehen.