Chaince 入驻慢雾区，赏金计划最高奖励 15，000 CET！

Chaince 入驻慢雾区啦，发布了「安全漏洞与威胁情报赏金计划」，严重漏洞最高奖励 15,000 CET！

Chaince 和慢雾区小伙伴联合发布这个悬赏计划，鼓励业界有技术有才华的白帽子们和安全人士，自发帮助 Chaince 维护安全环境，携手为 Chaince 安全保驾护航。

此前，Chaince 与业内知名区块链生态安全公司 “慢雾科技” 正式达成了 “安全战略合作伙伴” 关系！

慢雾会对 Chaince 平台的服务器集群、区块链基础设施、业务和代码逻辑进行全方位多层面的安全审计，并出具专业详尽的安全审计报告；

慢雾作为 Chaince 的长期安全顾问，持续为 Chaince 提供定期的安全审计。Chaince 在今后的开发中也会持续征求慢雾的安全建议，改进平台安全策略；

Chaince 适时聘请网络安全行业知名白帽和区块链资深安全人士作为平台的独立安全顾问，更好地在广度和深度上进行扩展，与慢雾的安全审计形成优势互补和多层次联合。

「安全漏洞与威胁情报赏金计划」

业务范围

Chaince - 专注 EOS 生态的区块链资产精品交易平台

Chaince 相关 Web 平台: *.chaince.com

Chaince 邮箱、服务器等

CET – Chaince 平台代币，EOS 合约地址：eosiochaince

处理流程

1. 报告阶段

报告者访问「慢雾区」网站，进入「赏金漏洞提交」页面

(URL：https://slowmist.io/bug-bounty.html) 提交威胁情报（状态：待审核）

2. 处理阶段

（1）一个工作日内，慢雾安全团队会确认「慢雾区」收到的威胁情报报告并跟进开始评估问题， 同时将情报反馈给 Chaince 对接人（状态：审核中）

（2）三个工作日内，Chaince 技术团队处理问题、给出结论并计分（状态：已确认/已忽略）。必要时会与报告者沟通确认，请报告者予以协助。

3. 修复阶段

（1）Chaince 业务部门修复威胁情报中反馈的安全问题并安排更更新上线（状态：已修复）。修复时间根据问题的严重程度及修复难度而定，一般来说，严重和高危问题 24 小时内，中危问题三个工作日内，低危问题七个工作日内。客户端安全问题受版本发布限制，修复时间根据实际情况确定。

（2）报告者复查安全问题是否修复（状态：已复查/复查异议）

（3）报告者确认安全问题已修复后，Chaince 技术团队告知慢雾安全团队处理结论和漏洞得分，并与慢雾安全团队一起发放奖励（状态：已结束）

漏洞评级及奖励标准

*备注：最终发放的奖励取决于漏洞严重程度和漏洞真实影响，表格中的数值为各等级最高奖励。

1. 严重漏洞

严重的漏洞是指，发生在核心系统业务系统（核心控制系统、域控、业务分发系统、堡垒机等可管理大量系统的管控系统），可造成大面积影响的，获取大量（依据实际情况酌情限定）业务系统控制权限，获取核心系统管理人员权限并且可控制核心系统。

包括但不限于：

内网多台机器控制；

核心后台超级管理员权限获取且造成大范围企业核心数据泄露，可造成巨大影响；

智能合约溢出、条件竞争漏洞。

2. 高危漏洞

系统的权限获得（getshell、命令执行等）；

系统的 SQL 注入（后台漏洞降级，打包提交酌情提升）；

敏感信息越权访问。包括但不仅限于绕过认证直接访问管理后台、重要后台弱密码、获取大量内网敏感信息的 SSRF 等）；

任意⽂件读取；

可获取任意信息的 XXE 漏洞；

涉及金钱的越权操作、支付逻辑绕过（需最终利用成功）；

严重的逻辑设计缺陷和流程缺陷。包括但不仅限于任意用户登录漏洞、批量修改任意账号密码漏洞、涉及企业核心业务的逻辑漏洞等，验证码爆破除外；

大范围影响用户的其他漏洞。包括但不仅限于重要页面可自动传播的存储型 XSS、可获取管理员认证信息且成功利用的存储型 XSS 等；

大量源代码泄露；

智能合约权限控制缺陷。

3. 中危漏洞

需交互方可影响用户的漏洞。包括但不仅限于一般页面的存储型 XSS，涉及核心业务的 CSRF 等；

普通越权操作。包括但不限于绕过限制修改用户资料、执行用户操作等；

拒绝服务漏洞。包括但不限于导致网站应用拒绝服务等造成影响的远程拒绝服务漏洞等；

由验证码逻辑导致任意账户登陆、任意密码找回等系统敏感操作可被爆破成功造成的漏洞；

本地保存的敏感认证密钥信息泄露，需能做出有效利用。

4. 低危漏洞

本地拒绝服务漏洞。包括但不仅限于客户端本地拒绝服务（解析文件格式、网络协议产生的崩溃），由 Android 组件权限暴露、普通应用权限引起的问题等；

普通信息泄露。包括但不限于 Web 路径遍历、系统路径遍历、目录浏览等；

反射型 XSS（包括 DOM XSS / Flash XSS）；

普通 CSRF；

URL 跳转漏洞；

短信炸弹、邮件炸弹（每个系统只收一个此类型漏洞）；

其他危害较低、不能证明危害的漏洞（如无法获取到敏感信息的 CORS 漏洞）；

无回显的且没有深入利用成功的 SSRF

此处参考了先知漏洞定级标准 https://xianzhi.aliyun.com/，在此表示感谢。

欢迎有才华的小伙伴前来领取悬赏～