Bug-Bounty-Programm

Geltungsbereich

Im Mainnet fallen alle Fehler in den Geltungsbereich, die einen Ausfall oder einen logischen Fehler auf Nodes oder API-Servern verursachen würden.
Experimentelle Funktionen im Testnet sind nicht im Geltungsbereich, sofern nicht in Discord oder Telegram-Ankündigungen anders angekündigt; Fehlerberichte zu diesen Funktionen sind jedoch weiterhin willkommen.

Einreichungsverfahren

Verfassen Sie einen Bericht über den Fehler und fügen Sie detaillierte Schritte zur Reproduktion sowie einen Proof of Concept bei, um Ihre Erkenntnisse zu belegen. Senden Sie Ihren Bericht an bugbounty@hyperfoundation.org.
Wird derselbe Fehler von mehreren Personen oder Organisationen gemeldet, wird der erste Bericht berücksichtigt.
Belohnungen werden in USDC auf Hyperliquid für die verantwortungsvolle Offenlegung von Fehlern entsprechend ihrem Schweregrad gezahlt.
Wir verpflichten uns, keine rechtlichen Schritte gegen Forschungsarbeiten einzuleiten, die in gutem Glauben und in Übereinstimmung mit diesem Programm durchgeführt werden.
Die Zeit und Mühe, die in alle Fehlerberichte einfließen, wird sehr geschätzt.

Unzulässige Aktivitäten

Tests an Mainnet-Code; alle Tests sollten im Testnet oder auf lokalen Forks durchgeführt werden.
Phishing oder andere Social-Engineering-Angriffe.
Ausgedehnte, großangelegte DDOS-Angriffe. Angriffe, die eine fehlerhafte Behandlung vorübergehender Lastspitzen betreffen, sind erlaubt.
Tests mit Systemen und Anwendungen von Drittanbietern (z. B. Browser-Erweiterungen) sowie Websites (z. B. SSO-Anbieter, Werbenetzwerke).
Einreichen von Lösegeldforderungen oder Drohungen.
Öffentliche Offenlegung eines Fehlerberichts, bevor dieser behoben und vergütet wurde.
Androhung der Veröffentlichung oder Veröffentlichung personenbezogener Daten oder anderer sensibler Informationen einer Person ohne deren Zustimmung.
Ausnutzen von Schwachstellen zur Erzielung eines persönlichen finanziellen Gewinns, der über die in diesem Programm beschriebenen Belohnungen hinausgeht.
Versuche, diese Verfahren zu umgehen, oder nicht autorisierte Aktivitäten außerhalb des beschriebenen Geltungsbereichs.

Teilnahmeberechtigung

Sie müssen Ihren Bericht an bugbounty@hyperfoundation.org senden. Verwenden Sie keine externen Websites.
Sie müssen die KYC/KYB-Richtlinien und -Verfahren einhalten.
Sie müssen in der Lage sein, USDC auf Hyperliquid zu empfangen.
Sie müssen Schwachstellen und die Kommunikation darüber vertraulich behandeln, bis wir die Offenlegung genehmigen.
Wir müssen Ihre Erkenntnisse reproduzieren können. Alle Bounty-Einreichungen werden entsprechend ihrer Einstufung vergütet. Beispiele für die Einstufung können sich ändern.
Personen, die an der Entwicklung des getesteten Codes mitgewirkt haben, sind in Bezug auf diesen Code nicht zur Teilnahme am Programm berechtigt.

Ausschlussgründe

Berichte ohne ausreichende Details, einschließlich schrittweiser Anleitungen, reproduzierbarer Beispiele oder eines Proof of Concept.
Schwachstellen, deren Ausnutzung ein höchst unwahrscheinliches oder unzumutbares Nutzerverhalten erfordert.
Schwachstellen, die durch veraltete Software, ungepatchte Browser oder von Hyperliquid nicht mehr unterstützte Systeme verursacht werden.
Schwachstellen, die Root-Zugriff, Jailbreaking oder andere Modifikationen an Nutzergeräten voraussetzen.
Probleme in Bibliotheken, Erweiterungen, Tools oder Anwendungen von Drittanbietern, die nicht zu einer direkten Schwachstelle bei Hyperliquid führen.
Fehler, die nicht mit der Sicherheit zusammenhängen, wie geringfügige Leistungsprobleme.
Fehler, die von extremen oder unrealistischen Marktbedingungen abhängen und keine realen Szenarien widerspiegeln.

Allgemeine Bedingungen

Für Einreichungen, die die Anforderungen des Programms nicht erfüllen oder die nach dem Geltungsbereich oder den Ausschlusskriterien des Programms ausgeschlossen sind, erfolgt keine Zahlung.
Wir behalten uns das Recht vor, die Gültigkeit und Einstufung einer Einreichung nach eigenem Ermessen zu bestimmen.
Alle Einreichungen gehen in das Eigentum der Hyper Foundation über. Wir behalten uns das Recht vor, Einreichungen für Sicherheitszwecke zu verwenden, zu ändern oder offenzulegen, ohne dass eine zusätzliche Zustimmung erforderlich ist.

Beispiele für die Einstufung

Kritisch (<1M USDC): Erheblicher Verlust von Nutzergeldern. Verletzung der L1-Ausführungsinvarianten.
Hoch (<50k USDC): Netzwerkausfall, der nicht zu einem fehlerhaften Zustand führt.
Mittel (<10k USDC): Leistungsprobleme des API-Servers.

Zur Klarstellung: Belohnungen werden auf Grundlage des Schweregrads des gemeldeten Problems festgelegt, und Auszahlungen können innerhalb der oben genannten Spannen variieren. Der Schweregrad wird sowohl anhand der Auswirkung als auch anhand der Eintrittswahrscheinlichkeit bestimmt.