SynergyX Bug Bounty Program

Vi betaler ikke for tastefejl, UI-fejl eller "runerne i din kildekode er skræmmende." Dette er for reelle sårbarheder med reel effekt:

• Fondens tab — Enhver sti, der tillader uautoriseret overførsel af SynX fra en tegnebog
• Nøglegendannelse — Udpakning af SPHINCS+ private nøgler, frøsætninger eller masterhemmeligheder fra hukommelse, disk eller netværkstrafik
• Signaturforfalskning — Forfalskning af en gyldig SPHINCS+-signatur uden den private nøgle
• Daemon Brick Bypass — Crash eller kapring af dæmonen for at manipulere konsensus, balancer eller blokere validering
• Escrow afløb — Udnyttelse af Synergy Sea DEX escrow til at stjæle midler fra begge parter
• Ikke kollision — Producerer en AES-256-GCM nonce-genbrug, der fører til almindelig tekstgendannelse
• Side-Channel Extraction — Timingangreb, cache-angreb, strømanalyse eller hukommelsesforensik, der genopretter nøglemateriale
• TLS Bypass — At besejre certifikatstiftning til MITM tegnebog-dæmon-kommunikation
• Staking udnyttelse — Manipulering af indsatsbelønninger, dobbeltindsats eller fantomindsats
• DoS / Ressourceudtømning — Crash dæmonen eller tegnebogen med udformet input (ikke bare "send en masse anmodninger")

Send dit proof-of-concept til @SynergyXlabs på Telegram. Omfatte:

• Beskrivelse af sårbarheden
• Trin-for-trin reproduktionsinstruktioner
• PoC-kode, scripts eller værktøj brugt
• Video- eller terminaloptagelse (valgfrit, men hjælper)
• Din foretrukne udbetalingsadresse og valuta

Din udnyttelse skal virke mod det levende SynergyX-mainnet. Testnet-kun fejl tæller ikke. Bekræft, at du er på den kanoniske kæde, før du starter:

Tag ikke hashen fra os. Træk det fra opdagelsesrejsende, eller læs det fra en node, du selv kører - det er hele pointen med en dusør.

Når vi har bekræftet din PoC, modtager du en deponeringsadresse. Betaling sker i kæden - ingen PayPal, ingen bankoverførsler, ingen IOU'er. 10.000 USD svarende til USDC eller din foretrukne understøttede krypto. Gennemsigtig og tillidsløs, samme som protokollen.

Følgende gør ikke kvalificere:

• Oplysningsresultater ("denne overskrift mangler")
• Self-DoS (kraser din egen tegnebog)
• Social engineering eller phishing-vektorer
• "Den slørede kode ser mærkelig ud" - ja, det skal den
• "Runerne er skræmmende" - de er ældste Futhark, ikke en hex-forbandelse (eller måske er de det)
• Teoretiske angreb uden en fungerende PoC
• Fejl i tredjepartsafhængigheder, medmindre du kan kæde dem ind i en SynX-specifik udnyttelse

Hvis din indsendelse er "Jeg dekompilerede det binære, og variabelnavnene gav mig hovedpine" - er det ved design, ikke en sårbarhed. Vi forbeholder os retten til at afvise indsendelser, der ikke demonstrerer udnyttelse i den virkelige verden. Ingen demonstration, men se, jeg kan komme ind på min egen private nøgle fra min pc (ja, nej sikke godt, det er selvforsorg)! Ingen hårde følelser. Kom tilbage, når du har noget rigtigt.

Dette dusørprogram er aktivt for 90 dage fra 1. marts 2026. Indlæg modtaget efter 30. maj 2026 er ikke garanteret en udbetaling under dette program, selvom vi kan vælge at honorere ekstraordinære resultater efter vores skøn.