imKey 漏洞与威胁情报赏金计划

项目概述

imKey 为用户提供区块链安全产品及解决方案。 imKey 于 2018 年创立，核心成员来自区块链钱包、金融机构和安全硬件厂商等，具有嵌入式安全和加密货币背景且互补。创立之初，imKey 即获得全球知名区块链钱包 imToken 天使投资，长期专注于加密资产安全领域研究。

业务范围

• 网站和应用程序: imkey.im
• 源代码(Github)：
  • https://github.com/consenlabs/imkey-core
• 物理硬件：imKey 硬件钱包

奖励规则

• 赏金计划会由 imKey 团队来判定赏金的数量，诸如影响的严重程度，条件资格等相关条件
• 公开披露漏洞没有资格获得赏金，需透过 support@imkey.im 来递交申请
• 若问题曾经由他人回报或已知，则不符合赏金奖励条件
• 需要提供文件或步骤来重现漏洞的实现

奖励标准

赏金的数量主要由风险的严重性来衡量

其他衡量标准

除了严重程度，下列因素也是我们考虑赏金数量的标准

• 对漏洞有明确的描述
• 提供测试代码或指令来重现漏洞
• 提供如何修正漏洞

报告规则

• 奖励或表彰的前提是imkey 安全团队能够重现并验证问题，并且安全影响是明确的；
• 重现步骤需要清晰明确，可以包括屏幕截图、视频、脚本等；
• 不要对他人进行社交工程和网络钓鱼；
• 不要泄露漏洞的详细信息；
• 请勿使用扫描仪进行大规模扫描。如遇业务系统或网络故障，将依法处理；
• 测试此漏洞的人员应尽量避免直接修改页面、持续弹出消息框（建议使用日志进行 XSS 验证）、窃取 Cookie 以及获取攻击性载荷（例如用户信息）（盲测 XSS 请使用 DNSLog）。如果您不小心使用了攻击性载荷，请及时删除。
• 漏洞测试仅限于概念验证（PoC），严禁进行破坏性测试。如果在测试过程中意外造成损害，应及时报告。同时，测试中执行的敏感操作，例如删除、修改等，需要在报告中加以说明。

奖励发放原则

• 以等值 USD 的代币发放
  • 稳定币 
    • USDT
    • USDC

重要声明：imKey 仅销售实体安全硬件产品，不提供任何虚拟资产交易、托管或资金相关服务。网站中提及的第三方钱包、交易所或去中心化应用仅用于说明产品可配合使用，相关功能与服务均由第三方独立提供。