Signaler une vulnérabilité

Vous avez trouvé une vulnérabilité ? Signalez-la-nous avant de la publier.

Comment signaler

Écrivez à info@shibaclassic.io avec l'objet « Security ». Indiquez où se trouve le problème (adresse, ID de programme ou URL), comment le reproduire et ce qu'il permet. Nous répondons sous 7 jours.

Ce qui est couvert

• le site shibaclassic.io et la Mini App Telegram, avec les scores de jeu et le classement
• nos contracts et programmes : la Bridge (LayerZero OFT), IncomeRouter, ClaimVault, le marketplace et les programmes Solana. Ils tournent aujourd'hui sur des testnets (Sepolia, Solana Devnet).

Ce qui n'est pas couvert

• le contract du token SHIBC sur Ethereum. Il est renounced et ne peut plus être modifié. Un signalement nous aide à avertir les détenteurs, mais il n'est pas récompensé.
• les variations de cours ou une faible liquidité. Ce n'est pas une vulnérabilité.
• spam, phishing, ingénierie sociale
• déni de service contre nos sites ou contre des points d'accès RPC tiers
• les contracts d'autres projets (Uniswap, LayerZero, Aragon). Merci de les signaler à ces projets.

Règles

• Ne testez jamais avec les fonds d'autrui sur le mainnet. Utilisez un testnet ou une copie locale (fork).
• Ne consultez, ne modifiez et ne supprimez aucune donnée d'autres utilisateurs.
• Laissez-nous 90 jours pour corriger le problème avant de le publier.

Récompense

Il n'existe pas encore de treasury pour payer. D'ici là, nous vous citons publiquement si vous le souhaitez. Une récompense est possible, à notre discrétion et sans engagement.

Dès que la treasury existera, cette règle s'appliquera :

• Critical et High (des fonds peuvent être perdus) : 10 % des fonds en danger, au plus 10 % de la treasury et au plus 50 000 USD, au moins 50 USD. Payé en ETH ou en stablecoin.
• Medium et Low : un petit montant fixe
• Informational (par exemple events manquants, gas, style) : pas de récompense, seulement une mention

Est en danger ce que le contract concerné détient le jour où votre e-mail arrive. Pour la Bridge, c'est le solde de la lockbox sur Ethereum. La gravité d'une découverte est évaluée aujourd'hui par le mainteneur, plus tard par la DAO. Nous payons sous 30 jours.