Política de seguridad

Quantus se toma en serio la seguridad de sus usuarios y agradece los informes de investigadores de seguridad.

No abra un issue público, una pull request ni una publicación en redes sociales sobre una vulnerabilidad de seguridad. Divulgarla antes de que exista una corrección pone en riesgo los fondos de los usuarios. Use el canal privado de abajo y coordinaremos con usted la corrección y la divulgación.

• Una descripción clara del problema y de su impacto en la seguridad.
• Se requiere una prueba de concepto que funcione. Debe ejecutarse directamente contra este proyecto, con una compilación de lanzamiento o una versión compilada localmente, y demostrar el comportamiento informado y el impacto en la seguridad. El código independiente, los ejemplos matemáticos o las simulaciones que solo reproducen la teoría sin ejercer el proyecto no cumplen este requisito.
• Instrucciones de reproducción paso a paso.
• Plataformas y versiones afectadas.
• Registros, direcciones o identificadores de transacción pertinentes (para problemas en la cadena).
• Si usó herramientas de IA para encontrar o redactar el informe, indíquelo.

Consideramos autorizada la investigación de seguridad realizada de buena fe conforme a esta política. No emprenderemos ni apoyaremos acciones legales contra investigadores que:

• se esfuercen de buena fe por evitar violaciones de la privacidad, la destrucción de datos y la interrupción o degradación de nuestros servicios;
• solo interactúen con cuentas que les pertenezcan o para las que tengan permiso explícito; y
• nos den una oportunidad razonable de corregir un problema antes de divulgarlo públicamente.

Dentro del alcance: cualquier repositorio de la organización quantus-network — todo lo que pueda provocar pérdida de fondos, exposición de claves o semillas, fallo de consenso, una transacción fallida o incorrecta, o el compromiso de nuestros servicios o usuarios.

Fuera del alcance: problemas en servicios o nodos de terceros que no operamos; informes generados solo por escáneres automáticos sin un impacto demostrado; problemas de baja gravedad o informativos en nuestros sitios de marketing y de presentación; y ataques de ingeniería social o físicos.

No hay una recompensa fija ni un pago garantizado. Si un informe cumple los requisitos, y por qué importe, lo decide únicamente Quantus.

Solo se admite la última versión. Las correcciones de seguridad se entregan en versiones nuevas. Mantenga su instalación actualizada.