Untuk yang membobol kontrak kami: 40,000,000 BZPX
Program imbalan keamanan berbayar yang mencakup dua protokol: agregator DEX on-chain dan mesin staking dengan solvabilitas yang dipaksakan. Dana ini adalah 4% dari pasokan tetap satu miliar, dan berasal dari alokasi tim sendiri, bukan dari float pasar — 113M dipangkas menjadi 93M. Dari kantong mana anggaran keamanan diambil lebih banyak berbicara daripada besarnya.
Tiga hal disampaikan lebih dulu, karena Anda berhak memutuskan dengan mata terbuka.
- • Imbalan dibayarkan dalam BZPX, bukan dalam stablecoin atau ETH. Token ini belum likuid saat tulisan ini dibuat, jadi yang bisa kami janjikan adalah jumlah dan jadwalnya — bukan nilainya pada saat diberikan.
- • Pembayaran dimulai setelah October 2026. Laporan sudah diterima, ditriase, dan dikonfirmasi sejak sekarang. Jika waktu itu tidak cocok bagi Anda, menunggu adalah pilihan yang sepenuhnya masuk akal — cakupannya tidak akan ke mana-mana.
- • Tingkat keparahan adalah penilaian kami, dan kami akan menunjukkan alasannya. Jika kami tidak setuju dengan penilaian Anda, kami menyampaikan alasannya secara tertulis alih-alih menurunkannya diam-diam.
Imbalan
Pencurian langsung atau pembekuan permanen dana pengguna; keadaan insolven yang dapat dicapai.
Pencurian dalam kondisi tertentu, atau redistribusi yang secara sistematis membayar pihak yang salah.
Griefing, penolakan layanan sementara, atau sisa yang dapat dipulihkan namun sampai ke pihak yang salah.
Dampak yang terbukti di bawah kategori di atas.
Laporan harus belum kami ketahui sebelumnya dan harus menunjukkan dampak, bukan menjelaskan kekhawatiran teoretis. Duplikat diselesaikan berdasarkan stempel waktu laporan pertama yang diterima.
Cakupan
Dalam cakupan: kontrak agregator DEX — Router, Solver, Hub, Quoter, Core — dan mesin staking, BlazePhoenixStaking serta BlazePhoenixMathLib. Di luar cakupan: pool, token, bridge, dan penyedia RPC pihak ketiga — tetapi kerentanan pada cara kontrak kami menggunakannya termasuk dalam cakupan.
Kebijakan lengkap dan katalog invarian: DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · staking — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md
Di mana laporan paling berdampak
Kedua protokol digerakkan oleh invarian dan gagal dalam keadaan tertutup, sehingga laporan yang paling berharga adalah yang mematahkan sebuah invarian yang dinyatakan, bukan yang menemukan sudut kasar. Pada agregator, itu berarti jalur di mana output yang dikutip menyimpang dari eksekusi, di mana bobot rute bisa diambil dari keadaan pool yang dilaporkan sendiri, atau di mana batas bawah terukur bisa dilewati.
Pada mesin staking, perhatikan baik-baik: sebuah temuan tidak harus mematahkan konservasi untuk menjadi Kritis. Penjaga bisa seimbang sampai ke wei di setiap blok dan tetap menyerahkan uang kepada orang yang salah — enam dari tujuh cacat yang sebelumnya diungkapkan adalah murni redistribusi, dengan total yang tidak pernah berubah. Jika laporan Anda menunjukkan hal itu, jangan turunkan sendiri tingkatnya hanya karena pembukuannya masih cocok. Justru kelas itulah yang paling ingin kami dengar.
Cara melapor
Secara privat, ke contact@blazephoenix.xyz — jangan pernah lewat issue publik. Sertakan dampaknya, kontrak yang terpengaruh dan file:line bila memungkinkan, proof-of-concept minimal atau kondisi reproduksi yang tepat, serta penilaian tingkat keparahan Anda sendiri. Kami menargetkan konfirmasi dalam 72 hours dan akan terus mengabari Anda selama triase dan perbaikan.
Kontak yang dapat dibaca mesin: /.well-known/security.txt (RFC 9116).
Kredit
Temuan yang valid dan belum diketahui sebelumnya akan dikreditkan dengan nama atau handle pilihan Anda, dengan persetujuan Anda, baik imbalan berlaku maupun tidak. Ini bukan janji baru: peneliti eksternal sudah tercatat dalam riwayat repositori atas temuan yang membentuk kontrak yang berjalan hari ini.
Berapa besar bayaran bug bounty BlazePhoenix?
Total 40,000,000 BZPX dialokasikan — 4% dari pasokan tetap 1,000,000,000. Temuan Kritis dibayar 2,000,000 hingga 6,000,000 BZPX, Tinggi dibayar 500,000 hingga 2,000,000, Sedang dibayar 100,000 hingga 500,000, dan Rendah dibayar hingga 100,000. Dana ini dibagi antara agregator DEX dan mesin staking.
Kapan imbalan bounty dibayarkan?
Penyelesaian imbalan dimulai setelah October 2026. Laporan diterima, ditriase, dan dikonfirmasi sejak sekarang, dengan target konfirmasi dalam 72 hours. Jika jadwal itu tidak cocok bagi seorang peneliti, menunggu adalah pilihan yang masuk akal — cakupannya tidak akan ke mana-mana.
Dalam mata uang apa imbalan dibayarkan?
Imbalan dibayarkan dalam BZPX, bukan dalam stablecoin atau ETH. BZPX belum likuid saat tulisan ini dibuat, sehingga program ini berkomitmen pada jumlah token dan jadwalnya, dan tidak menjanjikan berapa nilai jumlah itu ketika diberikan. Hal ini disampaikan di muka, bukan ditemukan belakangan.
Apa saja yang masuk cakupan bug bounty BlazePhoenix?
Kontrak agregator DEX on-chain (Router, Solver, Hub, Quoter, Core) dan mesin staking (BlazePhoenixStaking, BlazePhoenixMathLib). Pool, token, bridge, dan penyedia RPC pihak ketiga berada di luar cakupan — tetapi kerentanan pada cara kontrak-kontrak ini menggunakannya termasuk dalam cakupan.
Apakah sebuah temuan harus mematahkan solvabilitas agar dihitung Kritis?
Tidak. Pada mesin staking, penjaga konservasi bisa bekerja sempurna sementara nilai mengalir ke pihak yang salah — enam dari tujuh cacat yang sebelumnya diungkapkan adalah murni redistribusi, dengan total yang tidak berubah dari awal sampai akhir. Laporan yang menunjukkan kelas itu tidak boleh diturunkan tingkatnya dengan alasan pembukuan masih seimbang.