Programme de prime aux bogues SynergyX

Nous ne payons pas pour les fautes de frappe, les problèmes d'interface utilisateur ou "les runes de votre code source font peur". Il s’agit de vulnérabilités réelles avec un impact réel :

• Perte de fonds — Tout chemin permettant un transfert non autorisé de SynX depuis un portefeuille
• Récupération de clé — Extraction des clés privées, des phrases de départ ou des secrets principaux SPHINCS+ de la mémoire, du disque ou du trafic réseau
• Contrefaçon de signature — Forger une signature SPHINCS+ valide sans la clé privée
• Contournement des briques démoniaques — Crasher ou détourner le démon pour manipuler le consensus, les soldes ou bloquer la validation
• Drainage séquestre - Exploiter le séquestre Synergy Sea DEX pour voler des fonds à l'une ou l'autre des parties
• Collision occasionnelle — Production d'une réutilisation occasionnelle AES-256-GCM qui conduit à la récupération de texte en clair
• Extraction des canaux latéraux — Attaque temporelle, attaque de cache, analyse de puissance ou analyse de la mémoire qui récupère les éléments clés
• Contournement TLS - Vaincre l'épinglage de certificat sur la communication portefeuille-démon MITM
• Exploit de jalonnement — Manipulation des récompenses de mise, du double-staking ou du dé-stake fantôme
• DoS/épuisement des ressources — Crasher le démon ou le portefeuille avec une entrée spécialement conçue (pas seulement "envoyer beaucoup de requêtes")

Envoyez votre preuve de concept à @SynergyXlabs sur Télégramme. Inclure:

• Description de la vulnérabilité
• Instructions de reproduction étape par étape
• Code PoC, scripts ou outils utilisés
• Enregistrement vidéo ou terminal (facultatif mais utile)
• Votre adresse de paiement et votre devise préférées

Votre exploit doit fonctionner sur le réseau principal SynergyX en direct. Les bogues uniquement Testnet ne comptent pas. Confirmez que vous êtes sur la chaîne canonique avant de commencer :

Ne nous prenez pas le haschisch. Extrayez-le de l'explorateur ou lisez-le sur un nœud que vous exécutez vous-même - c'est tout l'intérêt d'une prime.

Après avoir vérifié votre PoC, vous recevrez une adresse séquestre. Le paiement est effectué en chaîne – pas de PayPal, pas de virement bancaire, pas de reconnaissance de dette. L'équivalent de 10 000 USD en USDC ou votre crypto pris en charge préféré. Transparent et sans confiance, identique au protocole.

Ce qui suit fait pas qualifier:

• Résultats informationnels (« cet en-tête est manquant »)
• Self-DoS (plantage de votre propre portefeuille)
• Vecteurs d’ingénierie sociale ou de phishing
• "Le code obscurci a l'air bizarre" — oui, c'est censé le faire
• "Les runes sont effrayantes" - ce sont Elder Futhark, pas une malédiction (ou peut-être qu'elles le sont)
• Attaques théoriques sans PoC fonctionnel
• Bogues dans les dépendances tierces, sauf si vous pouvez les enchaîner dans un exploit spécifique à SynX

Si votre soumission est "J'ai décompilé le binaire et les noms de variables m'ont donné mal à la tête" - c'est intentionnel, pas une vulnérabilité. Nous nous réservons le droit de rejeter les soumissions qui ne démontrent pas d'exploitabilité dans le monde réel. Aucune démonstration, mais regardez, je peux accéder à ma propre clé privée depuis mon PC (ouais, non, bon travail, c'est moi-même en garde) ! Pas de rancune. Revenez quand vous avez quelque chose de réel.

Ce programme de primes est actif pour 90 jours à compter du 1er mars 2026. Soumissions reçues après 30 mai 2026 ne sommes pas assurés d'un paiement dans le cadre de ce programme, bien que nous puissions choisir d'honorer des découvertes exceptionnelles à notre discrétion.