私たちのコントラクトを破った人へ: 40,000,000 BZPX

まず三点を先に述べます。目を開いたまま判断していただきたいからです。

• • 報酬はステーブルコインやETHではなくBZPXで支払われます。本稿執筆時点でこのトークンに流動性はありません。したがって約束できるのは数量と時期であり、付与時点での価値ではありません。
• • 支払いはOctober 2026以降に開始します。報告の受付・トリアージ・受領確認は現時点から行っています。この時期がご都合に合わないなら、待つという選択はまったく合理的です — スコープはどこにも行きません。
• • 深刻度の判定は当方の評価であり、その根拠を提示します。あなたの評価に同意できない場合は、黙って格下げするのではなく、理由を書面で述べます。

報酬

報告は当方にとって未知のものであり、理論上の懸念を述べるのではなく影響を実証している必要があります。重複は最初に受領した報告のタイムスタンプで決着します。

スコープ

対象内: DEXアグリゲーターのコントラクト — Router、Solver、Hub、Quoter、Core — およびステーキングエンジンのBlazePhoenixStakingとBlazePhoenixMathLib。対象外: サードパーティのプール、トークン、ブリッジ、RPCプロバイダー — ただし、当方のコントラクトがそれらをどう利用しているかに起因する脆弱性は対象内です。

完全なポリシーと不変条件カタログ: DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · staking — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md

報告が最も効くところ

両プロトコルとも不変条件に基づき、失敗時は閉じる設計です。したがって最も価値が高い報告は、粗い部分を見つけたものではなく、明示された不変条件を破るものです。アグリゲーターでいえば、提示された出力が実行と乖離する経路、ルート重みがプールの自己申告状態から取得され得る経路、あるいは計測された下限を迂回できる経路がそれに当たります。

ステーキングエンジンについては、ここをよく読んでください: 重大と認定されるために保存則を破る必要はありません。ガードが毎ブロックwei単位で釣り合っていながら、なお誤った相手に金を渡すことはあり得ます — 過去に開示された七件の欠陥のうち六件は純粋な再配分であり、総量は一度も変化しませんでした。あなたの報告がそれを示しているなら、帳尻が合っているからといって自分で格下げしないでください。まさにその種類こそ、私たちが最も知りたいものです。

報告方法

非公開で、contact@blazephoenix.xyz へ — 公開issueは決して使わないでください。影響、該当コントラクト、可能な場合はfile:line、最小限のproof-of-conceptまたは正確な再現条件、そしてあなた自身による深刻度評価を含めてください。72 hours以内の受領確認を目標とし、トリアージと修正の進捗を随時お知らせします。

機械可読の連絡先: /.well-known/security.txt (RFC 9116)。

クレジット

有効かつ未知であった発見は、報酬の有無にかかわらず、ご同意のうえであなたが選んだ名前またはハンドルでクレジットします。これは新しい約束ではありません。外部の研究者は、今日稼働しているコントラクトを形作った発見について、すでにリポジトリの履歴でクレジットされています。