¿Tiene Bybit un programa de recompensas por bugs? 

Sí, Bybit tiene un programa de recompensas por bugs. Si usted nota una vulnerabilidad en Bybit y le gustaría obtener una recompensa por errores, por favor refiérase a los pasos siguientes:  

Paso 1: Consolide todos sus hallazgos en un formato limpio y organizado. Se agradecerá que proporcione GIFs o grabaciones de vídeo del fallo. 

Paso 2: Envíe su informe de seguridad y sus hallazgos a través de este formulario y seleccione la opción API Trading / Reportar una vulnerabilidad de seguridad.

En el caso de las grabaciones de vídeo, súbelas a Google Drive y envíanos el enlace para compartirlas. Para más información sobre cómo hacerlo, visite aquí.

 

¿Cuál es la recompensa por bug que se otorga cuando se aprueba una vulnerabilidad? 

Consulte la siguiente tabla para conocer la recompensa por bugs disponible en función del nivel de la vulnerabilidad detectada. 

 

 

¿Cómo se definen los distintos niveles de bugs/vulnerabilidades? 

Por favor, consulte la siguiente lista para obtener más información:
 

Vulnerabilidades críticas

Una vulnerabilidad crítica es aquella que se produce en el sistema central de la empresa (el sistema de control central, el control de campo, el sistema de distribución de la empresa, la máquina de fortaleza u otro lugar de control que pueda gestionar un gran número de sistemas). Puede causar un impacto grave, obtener acceso al control del sistema empresarial (dependiendo de la situación real) o al personal de gestión del sistema central, e incluso controlar el sistema central.

 

Una vulnerabilidad crítica incluye, pero no se limita a:

• Múltiples dispositivos acceden a la red interna
• Obtención de acceso de superadministrador de back-end del núcleo, filtrando datos del núcleo de la empresa y causando un impacto severo
• Desbordamiento de contrato inteligente y vulnerabilidad de competencia condicional

 

Vulnerabilidades de alto riesgo

• Obtener acceso al sistema (getshell, ejecución de comandos, etc.)
• Inyección SQL del sistema (degradación de la vulnerabilidad del back-end, priorización del envío de paquetes según el caso)
• Obtención de acceso no autorizado a información sensible, incluyendo pero no limitado al acceso directo al fondo de gestión saltándose la autenticación, contraseñas de back-end atacables por fuerza bruta, u obtener SSRF de información sensible en la red interna, etc.
• Lectura arbitraria de documentos
• Vulnerabilidad XXE que puede acceder a cualquier información
• Operación no autorizada que implique la derivación de dinero o de la lógica de pago (necesita ser utilizada con éxito)
• Defectos graves de diseño lógico y de proceso. Esto incluye, pero no se limita a, cualquier vulnerabilidad de inicio de sesión del usuario, la vulnerabilidad de la modificación de la contraseña de la cuenta de lote, la vulnerabilidad de la lógica que implica el negocio principal de la empresa, etc., excepto la explosión del código de verificación
• Otras vulnerabilidades que afectan a los usuarios a gran escala. Estos incluyen, pero no se limitan a la XSS de almacenamiento que puede propagarse automáticamente en las páginas importantes, y la XSS de almacenamiento que puede acceder a la información de autenticación del administrador y ser utilizado con éxito
• Filtración del código fuente
• Defectos de control de permisos en el contrato inteligente

 

Vulnerabilidades de riesgo medio

• Una vulnerabilidad que puede afectar a los usuarios por interacción, incluyendo pero no limitado a XSS de almacenamiento en páginas generales, CSRF que involucra el negocio principal, etc.
• Operación general no autorizada, sin limitarse a la modificación de los datos del usuario y a la realización de operaciones del usuario saltándose las restricciones.
• Vulnerabilidades de denegación de servicio, incluyendo pero no limitándose a las vulnerabilidades de denegación de servicio remotas causadas por la denegación de servicio de las aplicaciones web.
• Vulnerabilidades causadas por una explosión exitosa con la operación sensible del sistema, como el acceso a cualquier cuenta de inicio de sesión y contraseña, etc., debido a los defectos de la lógica del código de verificación
• Fuga de información de clave de autenticación sensible almacenada localmente, que debe estar disponible para su uso efectivo

 

Vulnerabilidades de bajo riesgo

• Las vulnerabilidades locales de denegación de servicio incluyen, pero no se limitan a, la denegación de servicio local del cliente (análisis de formatos de archivos, caídas generadas por protocolos de red), problemas causados por la exposición de permisos de componentes de Android, acceso general a aplicaciones, etc.
• Fuga de información general, que no se limita a la travesía de la ruta web, la travesía de la ruta del sistema, la exploración de directorios, etc.
• XSS (incluyendo DOM XSS/Reflected XSS)
• CSRF General.
• Vulnerabilidad de omisión de URL.
• Bombas de SMS, bombas de correo (cada sistema sólo acepta un tipo de esta vulnerabilidad).
• Otras vulnerabilidades que son menos dañinas (y no se puede demostrar que lo sean, como la vulnerabilidad CORS que no puede acceder a información sensible).
• No hay valor de retorno y no hay utilización en profundidad de SSRF con éxito.

 

Vulnerabilidades que no se aceptan por el momento (aunque se envíe una vulnerabilidad de este tipo, se ignorará)

• Falsificación de correo electrónico
• Vulnerabilidad de enumeración de usuarios
• Auto-XSS e inyección de HTML
• Páginas web que carecen de políticas de seguridad CSP y SRI
• Problemas de CSRF para operaciones no sensibles
• Un problema independiente relativo a la aplicación Android android:allowBackup="true", en la que se deniega el servicio a nivel local, etc. (excepto para el uso interno)
• Problemas como el cambio de tamaño de la imagen, que provoca peticiones lentas, etc.
• Problemas de fugas de versión, como NGINX, etc.
• Algunos errores funcionales que no suponen un problema de riesgo de seguridad
• Ataque físico a Bybit / ataque de ingeniería social a los empleados de Bybit

 

Comportamientos prohibidos

• Realizar ingeniería social y/o participar en phishing
• Filtrar detalles de una vulnerabilidad
• Las pruebas de vulnerabilidad se limitan a PoC (prueba de concepto), y las pruebas destructivas están estrictamente prohibidas. Si se causan daños inadvertidamente durante las pruebas, se debe informar a tiempo. Mientras tanto, las operaciones sensibles realizadas durante la prueba, como la eliminación, la modificación y otras operaciones, deben ser explicadas en el informe
• Utilización de un escáner para la exploración a gran escala. Si el sistema o la red de la empresa deja de estar disponible, se tratará de acuerdo con las leyes pertinentes
• Aquellos que prueben la vulnerabilidad deben intentar evitar modificar la página directamente, continuar con la aparición del cuadro de mensajes (se recomienda DNSLog para la verificación xss), robar cookies, y/o obtener una carga útil agresiva como la información del usuario (para la prueba xss ciega, por favor, utilice dnslog). Si accidentalmente emplea una carga útil más agresiva, por favor, elimínela inmediatamente. De lo contrario, nos reservamos el derecho de exigir las responsabilidades legales correspondientes.