漏洞赏金计划

​

漏洞赏金计划概览

• QFEX 鼓励通过漏洞赏金计划负责任地披露安全漏洞。
• 研究人员必须遵守书面政策，本政策不接受协商修改。
• 主要规则：
  • 善意行事，避免违反政策。
  • 不得进行超出证明漏洞所必需范围的操作。
  • 不得威胁或提出赎金要求。
  • 发现并验证漏洞后应尽快报告，包括复现说明及概念验证利用程序。
• 研究人员有责任遵守全部适用法律。
• 任何规避或违反本政策的企图都会导致立即失去计划资格。威胁或敲诈企图可能被移交执法机关。
• 如有疑问，请联系 bugbounty@qfex.com澄清。

​

政策

QFEX 坚信安全专业人员和开发者对于保护产品与用户安全的价值。QFEX 已建立漏洞赏金计划，并鼓励通过该计划开展协调式漏洞披露（CVD）。本计划通过帮助保护数字货币市场中的客户，服务于 QFEX 的使命。 在 QFEX 系统中查找漏洞，即表示您同意：在 QFEX 解决问题并允许披露之前，对全部数据、漏洞信息、研究工作以及与 QFEX 的通信严格保密。 在遵守本政策要求的情况下，QFEX 同意不会对按照全部已发布 QFEX 漏洞赏金政策开展的安全研究提起法律诉讼，包括善意且意外发生的违规行为。 请尽可能创建测试账户，避免故意侵犯隐私。若在验证发现时遇到某个账户的可识别个人信息（PII）或其他敏感数据，而您未获得该账户所有者明确书面同意，请立即停止访问，并向 QFEX 报告问题。报告中应描述该个人信息或敏感数据的性质，而不是提供数据本身。 根据数据保护法规及我们的隐私政策，您必须：

• 不保存或传输其他客户的个人信息。若意外获取任何客户个人信息，应立即向 QFEX 报告，并销毁不属于您本人的全部副本。
• 在研究中尽量减少数据收集和访问。只收集、保留演示及报告漏洞绝对必需的信息。
• 提交报告且 QFEX 确认收到后，立即安全删除全部已收集数据。
• 未经 QFEX 明确书面同意，不得向第三方披露漏洞或相关信息，包括但不限于社交媒体、其他公司或新闻媒体。
• 若报告的是数据泄露或数据存储库位置，而不是安全漏洞，请提供数据位置，此后不要进一步访问，也不得向他人分享该位置。

漏洞赏金报告绝不能包含威胁或任何敲诈企图。我们愿意为真实有效的发现支付赏金，但赎金要求不符合付款资格。例如，只有在其他要求得到满足后才提供漏洞信息，或以其他方式阻碍漏洞修复，将被视为索取赎金。对于包含赎金要求的报告，我们可能依法必须，或自行决定，向有关部门报告。 我们认为，符合本政策的活动属于美国《计算机欺诈和滥用法》（CFAA）、《数字千年版权法》（DMCA）及适用反黑客法律（例如《加利福尼亚州刑法》503(c)）下的“获授权”行为。对于研究人员绕过我们用于保护本计划范围内应用的技术措施，我们不会据此提起诉讼。然而，遵守本政策并不意味着 QFEX、任何其他单独组织或政府能够给予全球法律豁免。研究人员本人有责任了解并遵守所有适用的当地及国际反黑客、数据、隐私和出口管制法律。如果第三方向您提起法律行动，而您遵守了本政策，QFEX 将告知相关执法机关或民事原告：据我们所知，您的研究是依照并符合本计划条款开展的。 研究人员在进行可能不符合本政策或本政策尚未涵盖的活动之前，必须先通知我们。我们欢迎有助于研究人员放心开展研究和报告的政策澄清建议。

​

奖励

所有报告均由 QFEX 评定，并按漏洞评级支付赏金。所有款项以 BTC 支付至您已验证的 QFEX 账户。所列金额仅为指导标准，可能调整。

• 所有漏洞报告必须发送至本计划唯一官方联系人 bugbounty@qfex.com。不要通过外部网站提交漏洞详情；任何外部网站或门户均非官方渠道，也未经 QFEX 批准。
• 要获得赏金，您必须：
  • 注册并达到 Intermediate（中级）认证等级，参见创建账户。
  • 拥有有效（ACTIVE）账户。
  • 提供验证所需的文件。
• 以付款或其他认可作为提供漏洞详情的交换条件，会立即失去赏金资格。不提供漏洞详情也会立即失去资格。
• 必须提供详细复现步骤和概念验证（PoC）。
• 如果我们无法复现，报告不符合付款资格。仅利用证明安全漏洞所必需的范围，并立即归还取出的任何资产。
• 禁止向其他人披露漏洞。
• 任何绕过本政策所列程序的企图，均导致立即失去赏金资格。
• 请提供用于收款的比特币（BTC）地址，所有奖励均以比特币发放。
• 最低支付标准见下文，QFEX 可自行调整全部付款金额。
• 最低赏金为等值 500 美元的比特币（BTC）。

​

提交流程

处理报告的步骤如下：

1. 向漏洞赏金邮箱提交报告。
2. QFEX 安全团队确认收到报告（服务时限：1 个工作日）。
3. QFEX 安全团队分诊评估（服务时限：10 个工作日）。
4. QFEX 安全团队回复评定结果；若认定为漏洞，将通知严重程度及奖励金额，并索取 BTC 地址。
5. 对于安全漏洞，QFEX 支付奖励（服务时限：14 个工作日）。

​

计划范围

​

漏洞评级

​

高

高严重度问题使攻击者能够读取或修改其无权访问的高度敏感数据。影响范围通常小于最高危问题，但仍可能赋予广泛访问权限。例如：

• 在生产网络服务器上任意执行代码或命令；
• 对生产数据库执行任意查询；
• 绕过密码或双因素认证登录流程；
• 访问敏感的生产用户数据或内部生产系统；
• 绕过内容安全策略（CSP）的跨站脚本（XSS）；
• 在公开暴露的资源中发现敏感用户数据；
• 获得终端用户账户本不应有权访问的非关键系统的访问权限。

​

中

中严重度问题使攻击者能够读取或修改少量其无权访问的数据，通常涉及的敏感程度低于高严重度问题。例如：

• 从用户不应有权访问的生产系统披露非敏感信息；
• 未绕过 CSP，或不会在其他用户会话中执行敏感操作的 XSS；
• 针对低风险操作的跨站请求伪造（CSRF）。

​

低

低严重度问题允许攻击者访问极少量数据。它们可能违反预期工作方式，但几乎不能用于提升权限或触发非预期行为。例如：

• 触发详细错误页或调试错误页，但没有证明可利用性，也未获得敏感信息。

​

不符合资格的报告

我们不接受且不支付奖励的报告包括：

• 第三方托管网站（如 status.qfex.com）上的漏洞，除非会导致主网站漏洞；以及 QFEX 博客（blog.qfex.com）上的漏洞和缺陷。
• 依赖物理攻击、社会工程、垃圾信息或分布式拒绝服务（DDoS）攻击等的漏洞。
• 影响过时或未打补丁浏览器的漏洞。
• 使用 QFEX API 的第三方应用中的漏洞。
• 在公开披露后尚未满 30 天时报告的、QFEX 产品、服务或基础设施所使用第三方库或技术的已公开漏洞。
• 在 QFEX 发布完整修复前已经公开披露的漏洞。
• 我们已知或他人已报告的漏洞，奖励归首位报告者。
• 无法复现的问题。
• 需要不太可能发生的大量用户交互的漏洞。
• 需要移动设备 root 或越狱的漏洞。
• 缺少安全请求头但没有证明可利用性的问题。
• 提供的 TLS 密码套件问题。
• 最佳实践建议。
• 软件版本披露。
• 没有详细逐步复现说明及概念验证利用程序的报告。
• 无法合理要求我们解决的问题，例如 QFEX 为符合标准而必须实现的技术规范本身存在的问题。
• 自动化工具或扫描器的输出，或 AI 生成的报告。
• 没有安全影响的问题。

​

非安全问题

非安全问题请发送至 support@qfex.com。