Programma di bug bounty

Ambito di applicazione

Su mainnet, qualsiasi bug che provochi un'interruzione o un errore logico sui nodi o sui server API rientra nell'ambito di applicazione.
Le funzionalità sperimentali su testnet non rientrano nell'ambito di applicazione, salvo diversa comunicazione negli annunci Discord o Telegram, sebbene le segnalazioni di bug relative a tali funzionalità siano comunque apprezzate.

Procedura di invio

Redigere un report sul bug includendo passaggi dettagliati per la riproduzione e un proof of concept a convalida dei risultati. Inviare il report a bugbounty@hyperfoundation.org.
Se lo stesso bug viene segnalato da più individui o entità, verrà considerata la prima segnalazione.
Le ricompense verranno corrisposte in USDC su Hyperliquid per la divulgazione responsabile dei bug, in base alla loro gravità.
Ci impegniamo a non intraprendere azioni legali in relazione a qualsiasi ricerca condotta in buona fede e in conformità con il presente programma.
Il tempo e l'impegno dedicati a tutte le segnalazioni di bug sono profondamente apprezzati.

Attività vietate

Test sul codice mainnet; tutti i test devono essere eseguiti su testnet o su fork locali.
Attacchi di phishing o altre forme di ingegneria sociale.
Attacchi DDOS prolungati e su larga scala. Sono consentiti gli attacchi che comportano una gestione non corretta di picchi temporanei di carico.
Test con sistemi e applicazioni di terze parti (ad es. estensioni del browser) nonché con siti web (ad es. fornitori SSO, reti pubblicitarie).
Invio di richieste di riscatto o minacce.
Divulgazione pubblica di una segnalazione di bug prima che sia stata corretta e retribuita.
Minacciare di pubblicare o pubblicare informazioni personali identificative o altre informazioni sensibili di terzi senza il loro consenso.
Sfruttamento di vulnerabilità per un guadagno finanziario personale oltre le ricompense descritte nel presente programma.
Tentativi di aggirare le presenti procedure o svolgimento di attività non autorizzate al di fuori dell'ambito delineato.

Idoneità

È necessario inviare la segnalazione a bugbounty@hyperfoundation.org. Non utilizzare siti esterni.
È necessario conformarsi alla policy e alle procedure KYC/KYB.
È necessario essere in grado di ricevere USDC su Hyperliquid.
È necessario mantenere la riservatezza su vulnerabilità e comunicazioni fino all'autorizzazione alla divulgazione da parte nostra.
Dobbiamo essere in grado di riprodurre i risultati. Tutte le segnalazioni nell'ambito del bug bounty verranno retribuite in base alla loro classificazione. Gli esempi di classificazione sono soggetti a modifiche.
I collaboratori allo sviluppo del codice oggetto dei test non sono idonei a partecipare al programma in relazione a tale codice.

Cause di inidoneità

Segnalazioni prive di dettagli sufficienti, incluse istruzioni passo passo, esempi riproducibili o proof of concept.
Vulnerabilità che per essere sfruttate richiedono un comportamento dell'utente altamente improbabile o irragionevole.
Vulnerabilità causate da software obsoleto, browser non aggiornati o sistemi non più supportati da Hyperliquid.
Vulnerabilità che si basano sull'accesso root, sul jailbreaking o su altre modifiche ai dispositivi degli utenti.
Problemi relativi a librerie, estensioni, strumenti o applicazioni di terze parti che non comportano una vulnerabilità diretta di Hyperliquid.
Bug o errori non correlati alla sicurezza, come problemi di prestazioni di lieve entità.
Bug o errori legati a condizioni di mercato estreme o irrealistiche che non riflettono scenari reali.

Condizioni generali

Non verrà corrisposto alcun pagamento per le segnalazioni che non soddisfano i requisiti del programma o che sono escluse dall'ambito di applicazione o dai criteri di inidoneità del programma.
Ci riserviamo il diritto di determinare la validità e la classificazione di qualsiasi segnalazione a nostra esclusiva discrezione.
Tutte le segnalazioni diventano proprietà della Hyper Foundation. Ci riserviamo il diritto di utilizzare, modificare o divulgare le segnalazioni per finalità di sicurezza senza richiedere ulteriore consenso.

Esempi di classificazione

Critical (<1M USDC): Perdita significativa di fondi degli utenti. Violazione degli invarianti di esecuzione L1.
High (<50k USDC): Interruzione della rete che non determina uno stato errato.
Medium (<10k USDC): Problemi di prestazioni dei server API.

Per evitare ogni dubbio, le ricompense sono determinate in base alla gravità del problema segnalato e i pagamenti possono variare entro gli intervalli sopra indicati. La gravità è determinata in base sia all'impatto sia alla probabilità di occorrenza.