SynergyX Bug-Bounty-Programm

Wir zahlen nicht für Tippfehler, Fehler in der Benutzeroberfläche oder „Die Runen in Ihrem Quellcode sind beängstigend“. Dies gilt für echte Schwachstellen mit echten Auswirkungen:

• Fondsverlust – Jeder Pfad, der eine unbefugte Übertragung von SynX aus einer Wallet ermöglicht
• Schlüsselwiederherstellung – Extrahieren privater SPHINCS+-Schlüssel, Seed-Phrasen oder Hauptgeheimnisse aus dem Speicher, der Festplatte oder dem Netzwerkverkehr
• Unterschriftenfälschung — Fälschen einer gültigen SPHINCS+-Signatur ohne den privaten Schlüssel
• Daemon Brick Bypass – Absturz oder Kaperung des Daemons, um Konsens, Salden oder Blockvalidierung zu manipulieren
• Treuhandabfluss – Ausnutzung des Synergy Sea-DEX-Treuhandkontos, um Gelder von einer der Parteien zu stehlen
• Nonce-Kollision – Erstellen einer AES-256-GCM-Nonce-Wiederverwendung, die zur Wiederherstellung von Klartext führt
• Seitenkanalextraktion – Timing-Angriff, Cache-Angriff, Leistungsanalyse oder Speicherforensik, die Schlüsselmaterial wiederherstellt
• TLS-Bypass – Das Anheften von Zertifikaten an die MITM-Wallet-Daemon-Kommunikation wird verhindert
• Absteck-Exploit – Manipulation von Einsatzprämien, Doppeleinsatz oder Phantom-Unstake
• DoS / Ressourcenerschöpfung – Absturz des Daemons oder der Wallet mit manipulierten Eingaben (nicht nur „viele Anfragen senden“)

Senden Sie Ihren Proof-of-Concept an @SynergyXlabs auf Telegram. Enthalten:

• Beschreibung der Schwachstelle
• Schritt-für-Schritt-Anleitung zur Reproduktion
• Verwendeter PoC-Code, Skripte oder Tools
• Video- oder Terminalaufzeichnung (optional, aber hilfreich)
• Ihre bevorzugte Auszahlungsadresse und Währung

Ihr Exploit muss gegen das Live-SynergyX-Mainnet funktionieren. Nur Testnet-Bugs zählen nicht. Bestätigen Sie, dass Sie sich in der kanonischen Kette befinden, bevor Sie beginnen:

Nehmen Sie uns den Hasch nicht weg. Rufen Sie es aus dem Explorer ab oder lesen Sie es von einem Knoten aus, den Sie selbst betreiben – das ist der Sinn eines Bountys.

Nachdem wir Ihren PoC überprüft haben, erhalten Sie eine Treuhandadresse. Die Zahlung erfolgt in der Kette – kein PayPal, keine Überweisungen, keine Schuldscheine. Gegenwert von 10.000 USD in USDC oder Ihrer bevorzugten unterstützten Kryptowährung. Transparent und vertrauenswürdig, genau wie das Protokoll.

Folgendes tun nicht qualifizieren:

• Informative Feststellungen („dieser Header fehlt“)
• Self-DoS (das eigene Wallet zum Absturz bringen)
• Social-Engineering- oder Phishing-Vektoren
• „Der verschleierte Code sieht seltsam aus“ – ja, das soll er auch
• „Die Runen sind gruselig“ – sie sind Elder Futhark, kein Fluch (oder vielleicht sind sie es auch)
• Theoretische Angriffe ohne funktionierenden PoC
• Fehler in Abhängigkeiten von Drittanbietern, es sei denn, Sie können sie in einen SynX-spezifischen Exploit verketten

Wenn Ihr Beitrag lautet: „Ich habe die Binärdatei dekompiliert und die Variablennamen bereiteten mir Kopfschmerzen“ – das ist beabsichtigt und keine Schwachstelle. Wir behalten uns das Recht vor, Einsendungen abzulehnen, die keine reale Ausnutzbarkeit belegen. Keine Demonstration, aber schauen Sie, ich kann von meinem PC aus auf meinen eigenen privaten Schlüssel zugreifen (ja, kein Scheiß, gute Arbeit, es ist selbstverwaltend)! Keine harten Gefühle. Kommen Sie zurück, wenn Sie etwas Echtes haben.

Dieses Kopfgeldprogramm ist aktiv für 90 Tage ab 1. März 2026. Einreichungen erfolgen danach 30. Mai 2026 Eine Auszahlung im Rahmen dieses Programms ist nicht garantiert, es liegt jedoch in unserem Ermessen, dass wir außergewöhnliche Ergebnisse honorieren.