攻破我们的合约，奖励 40,000,000 BZPX

先说三件事，因为你有权在信息充分的情况下作决定。

• • 奖励以 BZPX 支付，而不是稳定币或 ETH。撰写本文时该代币并不具备流动性，因此我们能承诺的是数量和时间表 — 而不是发放时刻的价值。
• • 付款在 October 2026 之后开始。报告现已开始接收、分级与确认。如果这个时间安排不适合你，等待完全是合理的选择 — 范围不会跑掉。
• • 严重程度由我们评定，并且我们会公开评定理由。若我们不同意你的定级，会以书面说明原因，而不是悄悄下调。

奖励

报告必须是我们此前未知的，并且必须证明实际影响，而不是描述理论上的担忧。重复提交以最先收到的报告时间戳为准。

范围

范围内：DEX 聚合器合约 — Router、Solver、Hub、Quoter、Core — 以及质押引擎 BlazePhoenixStaking 和 BlazePhoenixMathLib。范围外：第三方资金池、代币、跨链桥和 RPC 提供商 — 但我们的合约在使用它们的方式上存在的漏洞属于范围内。

完整政策与不变量目录：DEX — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Dex/blob/main/SECURITY.md · staking — https://github.com/blazephoenixxyz-crypto/Blaze-Phoenix-Staking/blob/main/SECURITY.md

报告在哪里最有分量

两个协议都以不变量驱动并采取失败即关闭的设计，因此最有价值的报告是击破某条明示不变量的报告，而不是找到粗糙边角的报告。在聚合器上，这意味着一条路径：报价输出与实际执行发生偏离，路由权重可能取自资金池自报的状态，或者已测得的下限可以被绕过。

在质押引擎上请特别注意：一个发现不必打破守恒才算严重。守卫可以在每个区块都精确到 wei 地平账，却依然把钱交给了错误的人 — 此前披露的七个缺陷中有六个是纯粹的再分配，总量自始至终没有变化。如果你的报告展示了这一点，不要因为账目仍然对得上就自行下调等级。这恰恰是我们最想听到的一类问题。

如何报告

请私下发送至 contact@blazephoenix.xyz — 切勿提交公开 issue。请包含影响、受影响的合约以及尽可能提供的 file:line、一个最小化的 proof-of-concept 或精确的复现条件，以及你自己的严重程度评估。我们的目标是在 72 hours 内确认收到，并在分级与修复过程中持续向你同步进展。

机器可读联系方式：/.well-known/security.txt (RFC 9116)。

致谢

有效且此前未知的发现，无论是否适用奖励，都会在征得你同意后以你选择的姓名或代号署名致谢。这不是一个新承诺：外部研究者已经因为塑造了今日运行合约的发现而被记入代码仓库的历史记录。