Bug bounty

Cette page est la porte d’entrée des chercheurs en sécurité. Le programme de divulgation coordonnée d’Intention existe pour trouver et corriger les vulnérabilités du protocole avant qu’elles ne soient utilisées contre les personnes qui négocient dessus. Nous voulons que des chercheurs sérieux examinent chaque couche du système, du noyau déterministe qui exécute les ordres aux contrats de bridge qui détiennent le collatéral, et nous sommes prêts à payer en conséquence quand ils trouvent quelque chose de réel. Le programme est en cours de formalisation. Le cadre, le périmètre, le modèle de gravité et le processus de soumission décrits sur cette page constituent la structure de travail qui entrera en vigueur avec la première version mainnet auditée. Les montants de récompense précis sont donnés à titre provisoire jusqu’à l’ouverture officielle du programme, mais la structure elle-même est stable, et toute découverte légitime divulguée de façon responsable pendant la période précédant le lancement sera honorée selon le cadre décrit sur cette page.

​

Périmètre

​

Dans le périmètre

Tout ce qu’un acteur malveillant pourrait utiliser pour voler les fonds des utilisateurs, arrêter le protocole, corrompre l’état entériné ou casser les propriétés dont dépend l’architecture — une exécution reproductible, des prix certifiés dans le bloc qui les consomme, un risque calculé atomiquement avec l’appariement, ou des changements d’état rattachables à la transaction qui les a causés — entre par défaut dans le périmètre. Concrètement :

• IntentionKernel — la sémantique d’exécution, le jeu d’instructions en monde clos, la discipline de séquencement, le déterminisme octet pour octet. Tout ce qui permet à l’exécution d’un validateur de diverger de celle d’un autre, ou à une transaction de produire un effet absent de la spécification du protocole.
• IntentionBFT — la sûreté et la vivacité du consensus, l’élection du leader, les engagements de séquencement canonique, l’agrégation des signatures, et le chemin de migration post-quantique.
• Oracle et quorum de prix — la soumission des observations, le rejet des valeurs aberrantes fondé sur la MAD, l’enveloppe de prix certifiés, et tout chemin qui permettrait à une transaction de lire un prix non entériné dans le même événement de consensus.
• Bridge inter-chaînes — le flux de dépôt et de retrait attesté par les validateurs, les contrats de bridge on-chain sur les chaînes de destination prises en charge, la signature à seuil et le processus de gestion des clés, ainsi que les contrôles opérationnels qui les entourent.
• Moteur de trading — l’appariement, le calcul du prix de marquage, les cascades de liquidation, le fonds d’assurance, l’ADL, le règlement du financement, et la chaîne de traitement du risque native au protocole.
• Surfaces d’API publiques — les endpoints REST et WebSocket, l’authentification, la signature, la limitation de débit, et tout chemin de code atteignable depuis Internet.
• Logiciel de validateur — le binaire du nœud, la manipulation des clés, le transport pair-à-pair, et tout outil opérationnel qu’un validateur fait tourner en production.

​

Hors périmètre

Les catégories suivantes sont explicitement exclues du programme. Les signalements portant sur ces cibles feront l’objet d’un accusé de réception mais ne donnent pas droit à une récompense.

• Les attaques par déni de service volumétrique contre l’infrastructure des validateurs ou les endpoints RPC publics. La défense contre celles-ci relève de l’atténuation opérationnelle en bordure de réseau, pas de correctifs du protocole.
• Les problèmes dans des logiciels, dépendances ou services tiers qu’Intention ne contrôle pas.
• Les découvertes qui reposent sur un accès physique au matériel des validateurs, sur de l’ingénierie sociale visant les salariés d’Intention Labs, ou sur des attaques de la chaîne d’approvisionnement visant les outils utilisés en interne par l’équipe.
• Le self-XSS, l’usurpation de contenu sans impact de sécurité, l’absence d’en-têtes de sécurité, et les autres problèmes à faible impact visant le site marketing ou ce site de documentation.
• Les bugs dans un logiciel formellement retiré, qui ne tourne plus sur aucun validateur ni dans aucun service de production.
• Les attaques théoriques qui exigent des conditions préalables improbables (par exemple la compromission de 51 % du stake honnête) sans chemin concret pour réunir ces conditions.

​

Classification de gravité

Les découvertes sont notées sur une échelle à quatre paliers. La note est déterminée par la combinaison de l’impact (ce qu’un attaquant peut obtenir) et de la vraisemblance (le réalisme du scénario d’attaque, y compris les conditions préalables et les ressources nécessaires). Le montant d’actifs exposé est le facteur d’impact dominant pour toute découverte qui touche aux fonds des utilisateurs. La gravité est décidée par l’équipe sécurité d’Intention, en concertation avec la personne qui signale. L’équipe motive sa note par écrit pour chaque découverte, et il est possible de contester cette note en apportant de nouveaux éléments.

​

Fourchettes de récompense

Toutes les récompenses sont versées en USDC à une adresse de portefeuille désignée par la personne qui signale. Aucun jeton natif n’intervient. Ces fourchettes ne sont là qu’à titre indicatif jusqu’à l’ouverture du programme. La matrice définitive sera publiée sur cette page à la livraison de la première version auditée. Quelques règles s’appliquent à chaque versement :

• Une prime par vulnérabilité unique. Si une même cause racine produit plusieurs découvertes, l’équipe les regroupe en une seule récompense, à la gravité la plus élevée applicable.
• Le premier signalement l’emporte. Les signalements en double d’un problème déjà en cours de tri font l’objet d’un accusé de réception mais ne sont pas récompensés.
• Pas de récompense pour les problèmes connus. Les découvertes qui correspondent à des éléments déjà présents dans le backlog interne de l’équipe sécurité, ou déjà couverts par un audit publié, ne sont pas éligibles. L’équipe communiquera la référence correspondante le cas échéant.
• La récompense est conditionnée à la coopération. Une divulgation publique avant correction, une exploitation allant au-delà d’une preuve de concept minimale, ou tout préjudice causé aux utilisateurs annulent la récompense.

​

Règles d’engagement

Les chercheurs qui participent au programme acceptent les contraintes suivantes. Elles existent pour protéger les utilisateurs, pour protéger les autres chercheurs, et pour que le programme reste quelque chose qu’Intention peut continuer à faire vivre.

• Aucun test en production avec de vrais fonds d’utilisateurs. Utilisez le testnet public (une fois en service) ou un fork privé. Si une découverte ne peut être reproduite qu’en production, écrivez d’abord à contact@intention.xyz et n’exécutez pas la preuve de concept tant que l’équipe sécurité n’a pas accusé réception de la demande.
• Pas d’ingénierie sociale. Ne visez pas les salariés, prestataires, validateurs ou partenaires d’Intention Labs par de l’hameçonnage (phishing), du prétextage ou d’autres attaques sociales.
• Pas d’attaques volumétriques. Pas de déni de service par inondation de trafic, pas d’attaques par épuisement de ressources contre une infrastructure partagée.
• Preuve de concept minimale uniquement. Démontrez l’impact avec l’action la plus petite possible. N’exfiltrez pas de données d’utilisateurs, ne déplacez pas de fonds au-delà du montant nécessaire pour démontrer le problème, et ne vous maintenez pas sur le système une fois la preuve de concept terminée.
• Pas de divulgation publique avant correction. La divulgation coordonnée est la règle par défaut. L’équipe sécurité définira avec vous un calendrier de divulgation publique une fois le correctif déployé.
• Respectez le droit applicable. L’engagement de non-poursuite ci-dessous s’applique à la recherche de bonne foi menée dans le respect de ces règles. Les activités qui enfreignent les lois sur la fraude informatique dans une juridiction concernée ne sont pas protégées.

​

Comment soumettre

​

Protection juridique

La recherche en sécurité menée de bonne foi dans le respect des règles ci-dessus ne fera l’objet d’aucune poursuite de la part d’Intention Labs. Cet engagement de non-poursuite couvre les chercheurs qui :

• Restent dans le périmètre et les règles d’engagement de cette page
• N’accèdent pas aux données d’utilisateurs, ne les modifient pas et ne les détruisent pas au-delà de ce qui est strictement nécessaire pour démontrer l’impact
• Signalent leurs découvertes en privé et respectent le calendrier de divulgation coordonnée
• N’exploitent pas leurs découvertes à des fins personnelles ni pour tout autre objectif que le programme

Les activités qui sortent de ces règles — par exemple exfiltrer des soldes d’utilisateurs, monnayer une découverte, ou rendre l’affaire publique avant correction — ne sont pas couvertes par cet engagement et peuvent donner lieu à des poursuites, quelle que soit la validité de la découverte sous-jacente. Un texte juridique précis accompagnera le lancement formel du programme et sera accessible depuis cette page.

​

Contact

E-mail : contact@intention.xyz. Mettez Security en objet pour un signalement de vulnérabilité ; tout le reste — questions de support, presse, partenariats, ou questions sur le programme qui ne sont pas des divulgations — va à la même adresse sans cet objet. Merci de prendre le temps de regarder. Le protocole s’améliore avec chaque chercheur honnête qui le lit.