Sicherheitsrichtlinie

Quantus nimmt die Sicherheit unserer Nutzer ernst und begrüßt Meldungen von Sicherheitsforschern.

Bitte eröffnen Sie kein öffentliches Issue, keinen Pull Request und keinen Beitrag in sozialen Medien zu einer Sicherheitsschwachstelle. Eine Veröffentlichung, bevor eine Korrektur vorliegt, gefährdet das Vermögen der Nutzer. Nutzen Sie den privaten Kanal unten. Wir stimmen die Korrektur und die Veröffentlichung mit Ihnen ab.

• Eine klare Beschreibung des Problems und seiner Sicherheitsauswirkung.
• Ein funktionierender Proof of Concept ist erforderlich. Er muss direkt gegen dieses Projekt laufen, mit einem Release-Build oder einer lokal gebauten Version, und das gemeldete Verhalten sowie die Sicherheitsauswirkung zeigen. Eigenständiger Code, mathematische Beispiele oder Simulationen, die nur die Theorie nachbilden und das Projekt nicht ausführen, erfüllen diese Anforderung nicht.
• Schritt-für-Schritt-Anleitung zur Reproduktion.
• Betroffene Plattformen und Versionen.
• Einschlägige Protokolle, Adressen oder Transaktions-IDs (bei On-Chain-Problemen).
• Wenn Sie KI-Werkzeuge zum Finden oder Verfassen der Meldung verwendet haben, geben Sie das bitte an.

Wir betrachten Sicherheitsforschung, die in gutem Glauben nach dieser Richtlinie erfolgt, als genehmigt. Wir werden keine rechtlichen Schritte gegen Forschende einleiten oder unterstützen, die:

• sich in gutem Glauben bemühen, Verletzungen der Privatsphäre, Datenzerstörung sowie Unterbrechung oder Beeinträchtigung unserer Dienste zu vermeiden;
• nur mit Konten interagieren, die ihnen gehören oder für die sie eine ausdrückliche Erlaubnis haben; und
• uns eine angemessene Gelegenheit geben, ein Problem zu beheben, bevor sie es öffentlich machen.

Im Umfang: jedes Repository in der Organisation quantus-network — alles, was zu einem Verlust von Mitteln, einer Offenlegung von Schlüsseln oder Seeds, einem Konsensfehler, einer fehlgeschlagenen oder falschen Transaktion oder einer Kompromittierung unserer Dienste oder Nutzer führen könnte.

Außerhalb des Umfangs: Probleme in Diensten oder Knoten Dritter, die wir nicht betreiben; Meldungen, die ausschließlich von automatischen Scannern stammen und keine nachgewiesene Auswirkung haben; Probleme geringer Schwere oder rein informative Hinweise auf unseren Marketing- und Landing-Websites; sowie Social-Engineering- oder physische Angriffe.

Es gibt keine feste Prämie und keine garantierte Auszahlung. Ob eine Meldung qualifiziert ist und in welcher Höhe, entscheidet allein Quantus.

Nur die neueste Version wird unterstützt. Sicherheitskorrekturen erscheinen in neuen Versionen. Bitte halten Sie Ihre Installation auf dem neuesten Stand.