SynergyX Bug Bounty-programma

We betalen niet voor typefouten, UI-fouten of "de runen in je broncode zijn eng." Dit is voor echte kwetsbaarheden met echte impact:

• Fondsverlies — Elk pad dat ongeautoriseerde overdracht van SynX vanuit een portemonnee mogelijk maakt
• Sleutelherstel — Het extraheren van SPHINCS+-privésleutels, zaadzinnen of hoofdgeheimen uit geheugen, schijf of netwerkverkeer
• Handtekening vervalsing — Het vervalsen van een geldige SPHINCS+-handtekening zonder de privésleutel
• Daemon Brick-bypass — Het crashen of kapen van de daemon om consensus, saldi te manipuleren of validatie te blokkeren
• Escrow-afvoer — Het misbruiken van Synergy Sea DEX-escrow om geld van beide partijen te stelen
• Nonce-botsing — Het produceren van een AES-256-GCM nonce-hergebruik dat leidt tot herstel van platte tekst
• Zijkanaalextractie — Timingaanval, cache-aanval, stroomanalyse of geheugenforensisch onderzoek dat sleutelmateriaal herstelt
• TLS-bypass - Het verslaan van cert-pinning naar MITM portemonnee-daemon-communicatie
• Exploitatie inzetten — Het manipuleren van inzetbeloningen, dubbele inzet of fantoom-niet-inzet
• DoS / Uitputting van bronnen — De daemon of portemonnee laten crashen met zelfgemaakte invoer (niet alleen "veel verzoeken verzenden")

Stuur uw proof-of-concept naar @SynergyXlabs op Telegram. Erbij betrekken:

• Beschrijving van de kwetsbaarheid
• Stapsgewijze reproductie-instructies
• PoC-code, scripts of gebruikte tools
• Video- of terminalopname (optioneel maar helpt)
• Het uitbetalingsadres en de valuta van uw voorkeur

Uw exploit moet werken tegen het live SynergyX-mainnet. Bugs die alleen op Testnet voorkomen, tellen niet mee. Bevestig dat je in de canonieke keten zit voordat je begint:

Neem de hasj niet van ons aan. Haal het uit de verkenner of lees het af van een knooppunt dat u zelf beheert – dat is het hele punt van een premie.

Nadat we uw PoC hebben geverifieerd, ontvangt u een borgadres. De betaling vindt plaats via de keten: geen PayPal, geen bankoverschrijvingen, geen schuldbekentenissen. $ 10.000 USD-equivalent in USDC of uw favoriete ondersteunde cryptovaluta. Transparant en betrouwbaar, hetzelfde als het protocol.

De volgende doen niet in aanmerking komen:

• Informatieve bevindingen ("deze kop ontbreekt")
• Self-DoS (je eigen portemonnee laten crashen)
• Social engineering- of phishing-vectoren
• "De versluierde code ziet er raar uit" - ja, dat is de bedoeling
• "De runen zijn eng" - ze zijn ouderling Futhark, geen vloek (of misschien zijn ze dat wel)
• Theoretische aanvallen zonder werkende PoC
• Bugs in afhankelijkheden van derden, tenzij je ze kunt koppelen aan een SynX-specifieke exploit

Als uw inzending luidt: "Ik heb het binaire bestand gedecompileerd en de namen van de variabelen bezorgden me hoofdpijn" - dat is inherent aan het ontwerp en niet aan een kwetsbaarheid. We behouden ons het recht voor om inzendingen te weigeren die geen exploitatie in de echte wereld aantonen. Geen demonstratie, maar kijk, ik kan vanaf mijn pc in mijn eigen privésleutel komen (ja nee, goed gedaan, het is zelfbeheer)! Geen harde gevoelens. Kom terug als je iets echts hebt.

Dit premieprogramma is actief voor 90 dagen vanaf 1 maart 2026. Inzendingen daarna ontvangen 30 mei 2026 Er is geen gegarandeerde uitbetaling onder dit programma, hoewel we er naar eigen goeddunken voor kunnen kiezen uitzonderlijke bevindingen te honoreren.