Программа баг-баунти

В рамках программы

В майннете в рамках программы рассматривается любой баг, который может вызвать сбой в работе или логическую ошибку на нодах или API-серверах.
Экспериментальные функции в тестнете не входят в рамки программы, если иное не объявлено в Discord или в Telegram-анонсах, хотя сообщения об ошибках в этих функциях всё равно приветствуются.

Процесс подачи

Напишите отчёт об ошибке, включив подробные шаги воспроизведения и доказательство концепции (proof of concept) для подтверждения ваших выводов. Отправьте свой отчёт на bugbounty@hyperfoundation.org.
Если один и тот же баг будет сообщён несколькими лицами или организациями, будет засчитан первый отчёт.
Вознаграждения выплачиваются в USDC на Hyperliquid за ответственное раскрытие багов в зависимости от их серьёзности.
Мы соглашаемся не прибегать к юридическим мерам в отношении любых исследований, проводимых добросовестно и в соответствии с этой программой.
Мы глубоко признательны за время и силы, вложенные во все сообщения об ошибках.

Запрещённая деятельность

Тестирование кода в майннете; все тестирования должны проводиться в тестнете или на локальных форках.
Фишинг и другие атаки социальной инженерии.
Продолжительные крупномасштабные DDoS-атаки. Атаки, связанные с обработкой временных всплесков нагрузки, разрешены.
Тестирование с участием сторонних систем и приложений (например, браузерных расширений), а также веб-сайтов (например, провайдеров SSO, рекламных сетей).
Выдвижение требований о выкупе или угроз.
Публичное раскрытие сообщения об ошибке до того, как она будет исправлена и оплачена.
Угрозы публикации или публикация чьей-либо персональной идентифицирующей информации или другой конфиденциальной информации без их согласия.
Эксплуатация уязвимостей для личной финансовой выгоды сверх вознаграждений, описанных в этой программе.
Попытки обойти эти процедуры или заниматься несанкционированной деятельностью вне очерченных рамок.

Соответствие требованиям

Вы должны отправить свой отчёт на bugbounty@hyperfoundation.org. Не используйте внешние сайты.
Вы должны соблюдать политику и процедуры KYC/KYB.
Вы должны иметь возможность получать USDC на Hyperliquid.
Вы должны сохранять конфиденциальность в отношении уязвимостей и коммуникаций до получения разрешения на раскрытие от нас.
Мы должны иметь возможность воспроизвести ваши выводы. Все заявки на вознаграждение будут выплачены в соответствии с их классификацией. Примеры классификации могут быть изменены.
Лица, внесшие вклад в разработку тестируемого кода, не имеют права участвовать в программе в отношении такого кода.

Несоответствие требованиям

Отчёты, не содержащие достаточной детализации, включая пошаговые инструкции, воспроизводимые примеры или доказательство концепции.
Уязвимости, для эксплуатации которых требуется крайне маловероятное или неразумное поведение пользователя.
Уязвимости, вызванные устаревшим программным обеспечением, непатченными браузерами или системами, больше не поддерживаемыми Hyperliquid.
Уязвимости, зависящие от root-доступа, джейлбрейка или других модификаций устройств пользователя.
Проблемы в сторонних библиотеках, расширениях, инструментах или приложениях, которые не приводят к прямой уязвимости Hyperliquid.
Баги или ошибки, не связанные с безопасностью, такие как незначительные проблемы производительности.
Баги или ошибки, зависящие от экстремальных или нереалистичных рыночных условий, которые не отражают реальные сценарии.

Общие условия

Оплата не производится за заявки, не соответствующие требованиям программы или исключённые в соответствии с рамками программы или критериями несоответствия.
Мы оставляем за собой право определять действительность и классификацию любой заявки по нашему собственному усмотрению.
Все заявки становятся собственностью Hyper Foundation. Мы оставляем за собой право использовать, изменять или раскрывать заявки в целях безопасности без дополнительного согласия.

Примеры классификации

Critical (критический) (<1M USDC): Значительная потеря средств пользователей. Нарушение инвариантов исполнения L1.
High (высокий) (<50k USDC): Простой сети, не приводящий к некорректному состоянию.
Medium (средний) (<10k USDC): Проблемы производительности API-сервера.

Во избежание сомнений: вознаграждения определяются на основе серьёзности сообщённой проблемы, а выплаты могут варьироваться в пределах указанных выше диапазонов. Серьёзность определяется на основе как воздействия, так и вероятности возникновения.