漏洞賞金計劃

範圍

• 在主網上，任何會導致節點或 API 伺服器宕機或邏輯錯誤的漏洞均在範圍內。
• 測試網上的實驗性功能不在範圍內，除非在 Discord 或 Telegram 公告中另有說明，但我們仍感謝針對這些功能的漏洞報告。

提交流程

• 撰寫關於該漏洞的報告，包含詳細的復現步驟和驗證你所發現問題的概念證明（proof of concept），並提交至 bugbounty@hyperfoundation.org。
• 如果同一漏洞被多個個人或實體報告，將以首份報告為準。
• 獎勵將以 Hyperliquid 上的 USDC 支付，金額依據負責任披露的漏洞嚴重程度確定。
• 對於出於善意且遵守本計劃的研究，我們承諾不追究法律責任。
• 我們衷心感謝所有漏洞報告背後付出的時間和精力。

禁止行爲

• 在主網代碼上進行測試；所有測試均應在測試網或本地分叉上進行。
• 釣魚或其他社會工程學攻擊。
• 長時間、大規模的 DDOS 攻擊。涉及處理臨時負載激增的攻擊是允許的。
• 使用第三方系統和應用（如瀏覽器擴展）以及網站（如 SSO 提供商、廣告網路）進行測試。
• 提交勒索要求或威脅。
• 在漏洞修復並支付獎勵之前公開披露漏洞報告。
• 威脅發布或擅自發布任何人的個人身份資訊或其他敏感資訊。
• 利用漏洞謀取超出本計劃所述獎勵之外的個人經濟利益。
• 試圖繞過這些流程，或從事超出既定範圍的未經授權的活動。

參與資格

• 你必須將報告提交至 bugbounty@hyperfoundation.org。請勿使用外部網站。
• 你必須遵守 KYC/KYB 政策和流程。
• 你必須能夠在 Hyperliquid 上接收 USDC。
• 在我們授權披露之前，你必須對漏洞和相關溝通內容保密。
• 我們必須能夠復現你的發現。所有賞金提交將按其分類支付。分類示例可能隨時變更。
• 所測試代碼的開發貢獻者無資格就該代碼參與本計劃。

不予受理

• 缺乏足夠細節的報告，包括分步說明、可復現的示例或概念證明。
• 需要極不可能或不合理的用戶行爲才能利用的漏洞。
• 由過時軟體、未更新的瀏覽器或 Hyperliquid 不再支持的系統導致的漏洞。
• 依賴 root 權限、越獄或其他對用戶設備進行修改才能利用的漏洞。
• 第三方庫、擴展、工具或應用中的問題，且不會直接導致 Hyperliquid 漏洞的。
• 與安全無關的缺陷或錯誤，例如輕微的性能問題。
• 依賴極端或不切實際、無法反映真實場景的市場條件的缺陷或錯誤。

一般條款

• 對於不符合計劃要求、或在計劃範圍或不予受理標準下被排除的提交，我們將不予支付。
• 我們保留自行決定任何提交的有效性和分類的權利。
• 所有提交的資料歸 Hyper Foundation 所有。我們保留將其用於、修改或出於安全目的予以披露的權利，無需額外徵得同意。

分類示例

• 嚴重（<1M USDC）：用戶資金重大損失。違反 L1 執行不變量。
• 高（<50k USDC）：不會導致錯誤狀態的網路宕機。
• 中（<10k USDC）：API 伺服器性能問題。

爲避免疑義，獎勵依據所報告問題的嚴重程度確定，支付金額可能在上文列出的範圍內浮動。嚴重程度依據影響和發生可能性綜合判定。