Bug Bounty da Bit2Me

Na Bit2Me, adoramos a cultura hacker: ela faz parte do DNA da nossa empresa, e alguns de nós participam regularmente de hackathons e competições CTF (Capture The Flag). Trabalhamos para construir a melhor plataforma de criptomoedas do mundo e para que ativos como o Bitcoin tenham cada vez mais aceitação na sociedade.

Como startup, avançamos em um ritmo muito rápido (atualizações, novos produtos...) e, como qualquer equipe humana, podemos deixar algo passar despercebido. Por isso, disponibilizamos à comunidade hacker nosso programa Bug Bounty, que será expandido à medida que a empresa crescer. A seguir, respondemos às perguntas mais frequentes sobre seu funcionamento.

Quais são as regras do programa Bug Bounty?

Para participar do programa, você deve cumprir as seguintes regras:

• Durante os testes, você deve adicionar o cabeçalho X-BUGBOUNTY-HACKER: <seu_nome_de_hacker> para que possamos identificar suas solicitações.
• Aceitamos apenas relatórios de vulnerabilidades não reportadas anteriormente. Em caso de duplicatas, a recompensa é sempre para o primeiro informante que tiver cumprido estas regras; se não as cumprir, a ordem do relatório será seguida, do mais antigo ao mais recente.
• Forneça evidências e informações suficientes para que nossa equipe de engenharia possa reproduzir e solucionar a vulnerabilidade.
• Não demonstre nenhum tipo de conduta ilegal ou coercitiva ao comunicar a vulnerabilidade à Bit2Me (ameaças, exigências ou outras táticas similares).
• Não explore a vulnerabilidade de forma a exfiltrar informações sensíveis publicamente, nem obtenha benefício dela antes de receber a recompensa da Bit2Me.
• Não provoque a destruição de dados nem a interrupção de nenhum serviço da Bit2Me durante o processo.
• Reporte apenas uma vulnerabilidade por solicitação, a menos que seja necessário encadear várias para maximizar o impacto de um mesmo tipo de vulnerabilidade.
• Não reporte uma vulnerabilidade causada pelo mesmo problema subjacente que outra pela qual já foi paga uma recompensa neste programa.
• Várias vulnerabilidades causadas por um mesmo problema subjacente receberão uma única recompensa.
• Uma mesma vulnerabilidade reproduzível em mais de um serviço ou subdomínio será tratada como uma única vulnerabilidade.
• Não é permitido publicar em nenhum meio da Internet uma exploração bem-sucedida realizada durante sua participação no programa.

O que acontece se a vulnerabilidade já foi reportada?

Apenas o primeiro informante de cada vulnerabilidade é recompensado. Todos os relatórios recebidos são registrados internamente com sua data e hora de recebimento.

Se seu relatório for classificado como duplicado, o notificaremos, indicando a data em que a vulnerabilidade foi reportada ou detectada pela primeira vez. Se você não concordar com esta classificação, pode solicitar uma revisão respondendo a este mesmo e-mail.

Quais domínios e aplicativos fazem parte do escopo do programa?

A busca por vulnerabilidades está limitada aos seguintes ativos:

Que vulnerabilidades NÃO serão aceitas?

Não serão aceitos relatórios sobre os seguintes casos:

• Qualquer ativo fora do escopo indicado.
• Ataques de negação de serviço distribuída (DDoS), como ataques através de botnets ou ferramentas de flooding. São admitidas vulnerabilidades que possam produzir uma negação de serviço (DoS) por incongruências de código, serviços desatualizados ou bibliotecas que gerem laços ciclomaticos excessivos.
• Enumeração de contas ou e-mails.
• Ataques de força bruta.
• Falsificação de conteúdo e injeção de texto sem capacidade de modificar HTML/CSS.
• Autoexploração (por exemplo, XSS executado com sucesso apenas localmente, script de console, reutilização de token...).
• Cabeçalhos CORS permissivos.
• Clickjacking com ações de mínimo impacto.
• Tab-nabbing.
• Vulnerabilidades relacionadas ao preenchimento automático de formulários.
• Falta de cabeçalhos ou flags (CSP, X-Frame-Options, Strict-Transport-Security, Content-sniffing, HTTPOnly, atributos de link «noopener noreferrer», etc.) que não resultem em uma exploração direta.
• Falta de boas práticas na configuração SSL/TLS.
• Suporte para métodos HTTP como OPTIONS.
• Ataques CSRF que não comprometam a autenticação ou operações críticas (adicionar aos favoritos, sair, etc.).
• Exposição de versões de software ou de serviços desatualizados.
• Exposição de diretórios ou arquivos públicos de mínimo impacto (por exemplo, robots.txt).
• Bugs em navegadores incomuns ou não suportados pela Bit2Me.
• Ataques MITM que exijam acesso físico ao dispositivo de um usuário.
• Qualquer ataque físico contra as instalações da Bit2Me ou seus centros de dados.
• Painéis de login acessíveis publicamente.
• Problemas de UX ou usabilidade que não impliquem falhas de segurança.
• Problemas sem impacto na segurança (por exemplo, uma falha ao carregar uma página).
• Engenharia social (phishing, vishing, smishing) contra funcionários, fornecedores, clientes ou usuários da Bit2Me.
• Vulnerabilidades já conhecidas por nós ou já reportadas por outra pessoa.
• Outros casos que a equipe de cibersegurança considerar fora do escopo do programa.

Como reportar um bug?

Siga estes passos para nos enviar seu relatório:

1. Envie seu relatório por e-mail para bugbounty@bit2me.com.
2. Inclua o maior número de evidências possível: título da vulnerabilidade, descrição de cada passo da exploração, ferramentas utilizadas, versão do navegador, capturas de tela (ou até mesmo vídeo), etc.
3. Anexe a PoC (prova de conceito), se a tiver realizado, e uma explicação de como corrigir a vulnerabilidade. Esta explicação é obrigatória.
4. Aguarde nossa resposta em um prazo de até 10 dias úteis. Se sua solicitação for aceita, e após a assinatura do acordo de confidencialidade (NDA) do programa, abonaremos a recompensa conforme indicado na política de respostas.

Quanto tempo leva para responder e como a recompensa é paga?

A Bit2Me sempre fará todo o possível para cumprir a seguinte política de respostas às solicitações enviadas pelos participantes do programa:

Quanto posso receber como recompensa?

As recompensas variam entre 50 € para vulnerabilidades de baixa criticidade e 5.000 € para as altamente críticas. Elas são atribuídas de acordo com nosso critério de criticidade da vulnerabilidade:

Para vulnerabilidades que nossa equipe interna de cibersegurança considerar MUITO críticas, a Bit2Me oferece uma recompensa especial de 5.000 €.

Que tipo de vulnerabilidades vocês buscam?

Estes são alguns exemplos das vulnerabilidades que nos interessam:

• XSS (excluindo self-XSS).
• CSRF (excluindo aqueles que envolvem ações sem impacto).
• Execução Remota de Código.
• Bypass de Autenticação.
• Injeção de SQL.
• Vazamento de informações sensíveis.
• LFI/RFI.
• Escalação de Privilégios.
• Vulnerabilidades que possam causar a perda de fundos ou bens do usuário.
• Vulnerabilidades que possam causar o vazamento remoto de dados confidenciais da empresa.

• Se o relatório não incluir uma PoC válida, a recompensa será decidida de acordo com a reprodutibilidade e severidade da vulnerabilidade, e seu valor poderá ser reduzido significativamente.
• Publicar na Internet uma exploração bem-sucedida implicará na negação de futuras solicitações e na suspensão dos pagamentos de recompensa pendentes.
• Para receber a recompensa, você precisa de uma conta Bit2Me com a verificação de identidade completa e ter assinado o NDA do programa.
• Lembre-se de sempre adicionar o cabeçalho X-BUGBOUNTY-HACKER em seus testes: sem ele, não poderemos identificar suas solicitações.