За взлом наших контрактов — 40,000,000 BZPX
Оплачиваемая программа вознаграждений за безопасность по двум протоколам: ончейн-агрегатор DEX и стейкинг-движок с принудительной платёжеспособностью. Фонд составляет 4% фиксированного предложения в один миллиард и взят из аллокации самой команды, а не из рыночного обращения — 113M сокращены до 93M. Из какого кармана берётся бюджет на безопасность, говорит больше, чем его размер.
Три вещи сказаны сразу, потому что вы вправе решать с открытыми глазами.
- • Вознаграждения выплачиваются в BZPX, а не в стейблкоинах или ETH. На момент написания токен неликвиден, поэтому мы можем обещать количество и график — но не стоимость в момент выдачи.
- • Выплаты начинаются после October 2026. Отчёты принимаются, сортируются и подтверждаются уже сейчас. Если такие сроки вам не подходят, подождать — вполне разумный выбор: скоуп никуда не денется.
- • Уровень критичности определяем мы, и мы покажем свою аргументацию. Там, где мы не согласны с вашей оценкой, мы письменно объясним почему, а не понизим её молча.
Вознаграждения
Прямая кража или необратимая заморозка средств пользователей; достижимое состояние неплатёжеспособности.
Кража при определённых условиях либо перераспределение, систематически выплачивающее не той стороне.
Грифинг, временный отказ в обслуживании или возвратный остаток, попадающий не той стороне.
Продемонстрированное влияние ниже перечисленного.
Отчёт должен быть нам ранее неизвестен и должен демонстрировать влияние, а не описывать теоретическое опасение. Дубликаты разрешаются по времени получения первого отчёта.
Скоуп
В скоупе: контракты агрегатора DEX — Router, Solver, Hub, Quoter, Core — и стейкинг-движок, BlazePhoenixStaking и BlazePhoenixMathLib. Вне скоупа: сторонние пулы, токены, мосты и провайдеры RPC — но уязвимость в том, как наши контракты их используют, входит в скоуп.
Полная политика и каталог инвариантов: DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · стейкинг — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md
Где отчёты бьют сильнее всего
Оба протокола построены на инвариантах и падают в закрытое состояние, поэтому самые ценные отчёты — те, что опровергают заявленный инвариант, а не те, что находят шероховатость. В агрегаторе это означает путь, на котором котируемый выход расходится с исполнением, на котором вес маршрута может браться из самозаявленного состояния пула, или на котором измеренный нижний порог можно обойти.
В стейкинг-движке отметьте это внимательно: находке не обязательно ломать сохранение, чтобы быть Критической. Страж может сходиться до вея в каждом блоке и всё равно отдавать деньги не тому человеку — шесть из семи ранее раскрытых дефектов были чистым перераспределением, при котором итоговые суммы никогда не менялись. Если ваш отчёт показывает именно это, не понижайте его сами лишь потому, что баланс сходится. Это ровно тот класс, о котором мы больше всего хотим услышать.
Как сообщить
Приватно, на contact@blazephoenix.xyz — никогда через публичный issue. Укажите влияние, затронутый контракт и file:line там, где это возможно, минимальный proof-of-concept или точные условия воспроизведения, а также вашу собственную оценку критичности. Мы стремимся подтвердить получение в течение 72 hours и держать вас в курсе на этапах разбора и устранения.
Машиночитаемый контакт: /.well-known/security.txt (RFC 9116).
Признание
Действительные и ранее неизвестные находки указываются под выбранным вами именем или ником, с вашего согласия, независимо от того, полагается ли вознаграждение. Это не новое обещание: внешние исследователи уже упомянуты в истории репозитория за находки, сформировавшие контракты, которые работают сегодня.
Сколько платит bug bounty BlazePhoenix?
Всего выделено 40,000,000 BZPX — 4% фиксированного предложения в 1,000,000,000. Критическая находка оплачивается в 2,000,000–6,000,000 BZPX, Высокая — 500,000–2,000,000, Средняя — 100,000–500,000, Низкая — до 100,000. Фонд общий для агрегатора DEX и стейкинг-движка.
Когда выплачиваются вознаграждения?
Расчёты по вознаграждениям начинаются после October 2026. Отчёты принимаются, сортируются и подтверждаются уже сейчас, целевой срок подтверждения — 72 hours. Если такой график исследователю не подходит, подождать — разумный выбор: скоуп никуда не денется.
В какой валюте выплачиваются вознаграждения?
Вознаграждения выплачиваются в BZPX, а не в стейблкоинах или ETH. На момент написания BZPX неликвиден, поэтому программа обязуется по количеству токенов и по графику и не обещает, сколько это количество будет стоить в момент выдачи. Это сказано заранее, а не обнаруживается потом.
Что входит в скоуп bug bounty BlazePhoenix?
Ончейн-контракты агрегатора DEX (Router, Solver, Hub, Quoter, Core) и стейкинг-движок (BlazePhoenixStaking, BlazePhoenixMathLib). Сторонние пулы, токены, мосты и провайдеры RPC вне скоупа — но уязвимость в том, как эти контракты их используют, входит в скоуп.
Обязательно ли находке ломать платёжеспособность, чтобы считаться Критической?
Нет. В стейкинг-движке страж сохранения может работать безупречно, пока стоимость уходит не той стороне — шесть из семи ранее раскрытых дефектов были чистым перераспределением, итоговые суммы оставались неизменными от начала до конца. Отчёт, демонстрирующий этот класс, не должен понижаться на том основании, что баланс по-прежнему сходится.