Оригинальная тематическая иллюстрация: Оригинальная тематическая схема ChainView BTC866 · ChainView BTC866 Editorial · CC BY 4.0
Изучите область программы
Наличие программы вознаграждений не означает проверку всех продуктов. Найдите включённые домены, адреса договоров, репозитории и исключения. Уточните допустимые типы исследований и срок действия программы. Максимальная награда не равна фактической выплате и не измеряет безопасность. Программа может касаться только тестовой среды. В статье нельзя превращать её существование в утверждение, что уязвимостей нет или что каждый компонент прошёл аудит.
Соблюдайте порядок сообщения
Используйте официальный канал и разрешённые условия исследования. Программа не даёт права трогать чужие активы и персональные данные. Передавайте минимальные доказательства безопасным способом, согласуя ответственное раскрытие. Не публикуйте секреты и подробности, позволяющие немедленное злоупотребление. Адрес выплаты из личного сообщения неизвестного человека не становится официальным. В публичном материале важнее подтверждённое воздействие и необходимые меры пользователя, чем опасная демонстрация.
Свяжите код и развёртывание
Исправленный коммит может ещё не попасть в выпуск и производственную среду. Сопоставьте идентификатор кода, версию, адрес работающего договора и операцию обновления. Для прокси проверьте реализацию и управляющие полномочия. Уточните, какие проверки предотвращают повторение ошибки. Обновление программы не возвращает уже украденные активы и не делает утёкший ключ безопасным. Исправление кода, отзыв полномочий и компенсация ущерба имеют разные статусы.
Покажите последовательность
Ведите даты получения сообщения, подтверждения, исправления, выпуска и публичного раскрытия. Отделяйте заявление исследователя от подтверждения оператора. Если есть независимая повторная проверка, укажите её версию и границы. Статус «предложено» не равен «внедрено», а внедрение не всегда означает обновление всех пользовательских устройств. Оставьте ссылку на официальные последующие сообщения и перечень неизвестного. Проверяемый процесс полезнее рекламной суммы вознаграждения.
