SynergyX 错误赏金计划

我们不会为拼写错误、用户界面故障或“源代码中的符文太可怕”付出代价。这是针对具有实际影响的真实漏洞：

• 资金损失 — 允许从钱包未经授权转移 SynX 的任何路径
• 密钥恢复 — 从内存、磁盘或网络流量中提取 SPHINCS+ 私钥、种子短语或主密钥
• 签名伪造 — 无需私钥即可伪造有效的 SPHINCS+ 签名
• 守护进程砖绕过 — 崩溃或劫持守护进程以操纵共识、余额或区块验证
• 托管排水 — 利用 Synergy Sea DEX 托管从任何一方窃取资金
• 随机数碰撞 — 生成 AES-256-GCM 随机数重用，从而实现明文恢复
• 侧通道提取 — 定时攻击、缓存攻击、功耗分析或恢复关键材料的内存取证
• TLS 绕过 — 击败 MITM 钱包守护程序通信的证书固定
• 质押漏洞 — 操纵质押奖励、双重质押或虚拟质押
• DoS/资源耗尽 — 使用精心设计的输入使守护进程或钱包崩溃（不仅仅是“发送大量请求”）

将您的概念验证发送至 @SynergyXlabs 在电报上。包括：

• 漏洞描述
• 分步复制说明
• 使用的 PoC 代码、脚本或工具
• 视频或终端录制（可选但有帮助）
• 您的首选付款地址和货币

您的漏洞利用必须针对实时 SynergyX 主网。仅测试网的错误不算在内。在开始之前确认您位于规范链上：

不要从我们这里拿走哈希值。从浏览器中提取它或从您自己运行的节点上读取它 - 这就是赏金的全部意义。

在我们验证您的 PoC 后，您将收到一个托管地址。付款是在链上进行的——没有 PayPal、没有电汇、没有欠条。 10,000 美元等值的 USDC 或您首选支持的加密货币。透明且无需信任，与协议相同。

以下做 不是 符合条件：

• 信息发现（“此标头丢失”）
• Self-DoS（破坏你自己的钱包）
• 社会工程或网络钓鱼载体
• “混淆的代码看起来很奇怪”——是的，它应该是这样
• “这些符文很可怕”——它们是福萨克长老，而不是咒语（或者也许它们是）
• 没有有效 PoC 的理论攻击
• 第三方依赖项中的错误，除非您可以将它们链接到特定于 SynX 的漏洞利用中

如果您提交的内容是“我反编译了二进制文件，变量名称让我头疼”——这是设计使然，而不是漏洞。我们保留拒绝未证明现实世界可利用性的提交的权利。没有证明，但看起来我可以从我的电脑上进入我自己的私钥（是的，不，干得好，它是自我保管的）！没有难受的感觉。当你有真实的东西时再回来。

此赏金计划适用于 90天 自 2026 年 3 月 1 日起。之后收到的提交材料 2026 年 5 月 30 日 尽管我们可以酌情选择尊重特殊调查结果，但不保证根据该计划获得付款。