우리 컨트랙트를 깨뜨리면 40,000,000 BZPX

세 가지를 먼저 밝힙니다. 눈을 뜬 채로 판단하실 자격이 있기 때문입니다.

• • 보상은 스테이블코인이나 ETH가 아니라 BZPX로 지급됩니다. 작성 시점에 이 토큰에는 유동성이 없습니다. 따라서 우리가 약속할 수 있는 것은 수량과 일정이며, 지급 시점의 가치가 아닙니다.
• • 지급은 October 2026 이후에 시작됩니다. 제보는 지금부터 접수, 분류, 접수 확인이 이루어집니다. 그 시점이 맞지 않는다면 기다리는 것도 전적으로 합리적인 선택입니다 — 범위는 어디로도 가지 않습니다.
• • 심각도는 우리의 판단이며, 그 근거를 제시하겠습니다. 귀하의 등급 산정에 동의하지 않을 경우 조용히 낮추는 대신 이유를 서면으로 밝힙니다.

보상

제보는 우리에게 기존에 알려지지 않은 것이어야 하며, 이론적 우려를 서술하는 대신 실제 영향을 입증해야 합니다. 중복 제보는 가장 먼저 접수된 제보의 타임스탬프로 정리됩니다.

범위

범위 내: DEX 애그리게이터 컨트랙트 — Router, Solver, Hub, Quoter, Core — 그리고 스테이킹 엔진인 BlazePhoenixStaking과 BlazePhoenixMathLib. 범위 밖: 서드파티 풀, 토큰, 브리지, RPC 제공자 — 다만 우리 컨트랙트가 이들을 사용하는 방식에서 발생하는 취약점은 범위 내입니다.

전체 정책 및 불변식 목록: DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · staking — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md

제보가 가장 크게 꽂히는 지점

두 프로토콜 모두 불변식 기반이며 실패 시 닫히도록 설계되어 있습니다. 따라서 가장 가치 있는 제보는 거친 모서리를 찾아낸 것이 아니라, 명시된 불변식을 무너뜨리는 것입니다. 애그리게이터에서는 견적된 출력이 실행과 어긋나는 경로, 라우트 가중치를 풀이 스스로 보고한 상태에서 가져올 수 있는 경로, 또는 측정된 하한을 우회할 수 있는 경로를 뜻합니다.

스테이킹 엔진에 대해서는 이 점을 유의하십시오: 발견이 심각 등급이 되기 위해 보존을 깨뜨려야 하는 것은 아닙니다. 가드가 매 블록마다 wei 단위까지 정확히 맞으면서도 돈을 엉뚱한 사람에게 건넬 수 있습니다 — 이전에 공개된 일곱 건의 결함 중 여섯 건은 총량이 전혀 변하지 않은 순수한 재분배였습니다. 귀하의 제보가 그것을 보여준다면, 장부가 여전히 맞는다는 이유로 스스로 등급을 낮추지 마십시오. 우리가 가장 듣고 싶은 것이 바로 그 부류입니다.

제보 방법

비공개로 contact@blazephoenix.xyz 로 보내주십시오 — 공개 issue는 절대 사용하지 마십시오. 영향, 해당 컨트랙트, 가능하면 file:line, 최소한의 proof-of-concept 또는 정확한 재현 조건, 그리고 귀하 자신의 심각도 평가를 포함해 주십시오. 72 hours 이내 접수 확인을 목표로 하며, 분류와 수정 과정 내내 진행 상황을 공유합니다.

기계 판독용 연락처: /.well-known/security.txt (RFC 9116).

크레딧

유효하고 기존에 알려지지 않은 발견은 보상 적용 여부와 무관하게, 동의를 받아 귀하가 선택한 이름이나 핸들로 크레딧을 표기합니다. 이는 새로운 약속이 아닙니다. 외부 연구자들은 오늘 운영 중인 컨트랙트를 형성한 발견에 대해 이미 저장소 이력에 크레딧이 남아 있습니다.