漏洞赏金计划

范围

• 在主网上，任何会导致节点或 API 服务器宕机或逻辑错误的漏洞均在范围内。
• 测试网上的实验性功能不在范围内，除非在 Discord 或 Telegram 公告中另有说明，但我们仍感谢针对这些功能的漏洞报告。

提交流程

• 撰写关于该漏洞的报告，包含详细的复现步骤和验证你所发现问题的概念证明（proof of concept），并提交至 bugbounty@hyperfoundation.org。
• 如果同一漏洞被多个个人或实体报告，将以首份报告为准。
• 奖励将以 Hyperliquid 上的 USDC 支付，金额依据负责任披露的漏洞严重程度确定。
• 对于出于善意且遵守本计划的研究，我们承诺不追究法律责任。
• 我们衷心感谢所有漏洞报告背后付出的时间和精力。

禁止行为

• 在主网代码上进行测试；所有测试均应在测试网或本地分叉上进行。
• 钓鱼或其他社会工程学攻击。
• 长时间、大规模的 DDOS 攻击。涉及处理临时负载激增的攻击是允许的。
• 使用第三方系统和应用（如浏览器扩展）以及网站（如 SSO 提供商、广告网络）进行测试。
• 提交勒索要求或威胁。
• 在漏洞修复并支付奖励之前公开披露漏洞报告。
• 威胁发布或擅自发布任何人的个人身份信息或其他敏感信息。
• 利用漏洞谋取超出本计划所述奖励之外的个人经济利益。
• 试图绕过这些流程，或从事超出既定范围的未经授权的活动。

参与资格

• 你必须将报告提交至 bugbounty@hyperfoundation.org。请勿使用外部网站。
• 你必须遵守 KYC/KYB 政策和流程。
• 你必须能够在 Hyperliquid 上接收 USDC。
• 在我们授权披露之前，你必须对漏洞和相关沟通内容保密。
• 我们必须能够复现你的发现。所有赏金提交将按其分类支付。分类示例可能随时变更。
• 所测试代码的开发贡献者无资格就该代码参与本计划。

不予受理

• 缺乏足够细节的报告，包括分步说明、可复现的示例或概念证明。
• 需要极不可能或不合理的用户行为才能利用的漏洞。
• 由过时软件、未更新的浏览器或 Hyperliquid 不再支持的系统导致的漏洞。
• 依赖 root 权限、越狱或其他对用户设备进行修改才能利用的漏洞。
• 第三方库、扩展、工具或应用中的问题，且不会直接导致 Hyperliquid 漏洞的。
• 与安全无关的缺陷或错误，例如轻微的性能问题。
• 依赖极端或不切实际、无法反映真实场景的市场条件的缺陷或错误。

一般条款

• 对于不符合计划要求、或在计划范围或不予受理标准下被排除的提交，我们将不予支付。
• 我们保留自行决定任何提交的有效性和分类的权利。
• 所有提交的资料归 Hyper Foundation 所有。我们保留将其用于、修改或出于安全目的予以披露的权利，无需额外征得同意。

分类示例

• 严重（<1M USDC）：用户资金重大损失。违反 L1 执行不变量。
• 高（<50k USDC）：不会导致错误状态的网络宕机。
• 中（<10k USDC）：API 服务器性能问题。

为避免疑义，奖励依据所报告问题的严重程度确定，支付金额可能在上文列出的范围内浮动。严重程度依据影响和发生可能性综合判定。