BUG 赏金计划 | Keystone 硬件钱包

Bug 賞金項目

最近更新时间: 2026年5月17日

簡介

Keystone 的 Bug 賞金項目旨在鼓勵大家對 Keystone 的硬件和固件的安全性進行研究，並獎勵那些為 Keystone 用戶安全作出寶貴貢獻的研究人員。

獎賞要求

要獲得此項目的獎勵，提交的安全漏洞必須滿足以下基本條件：

漏洞必須是原始的，且此前從未被報告過。
漏洞必須是 Keystone 自身代碼的一部分，而非完全由第三方代碼、應用、服務或網站引起。
您不得是 Keystone 或其任何子公司的員工、承包商、供應商，或與其存在業務往來。
您不得利用該漏洞謀取私利，包括未經授權的訪問、數據獲取、資產轉移、服務中斷或任何其他有害行為。
在公開披露安全問題的任何部分之前，您必須給予 Keystone 合理的時間進行驗證、修復並協調披露。
Keystone 保留自行決定所報告問題是否有效、是否在範圍內、是否足夠嚴重以及是否符合獎勵資格的權利。

賞金項目範圍內的漏洞

可被視為在範圍內的漏洞舉例：

繞過密碼保護、PIN 碼驗證或類似的用戶身份驗證機制。
在安全芯片（Secure Element）上隨意執行代碼。
在無需物理訪問的情況下，在 MCU 上隨意執行代碼。
繞過用戶確認，或誤導用戶批准非預期的交易。
私鑰、助記詞或其他敏感加密信息的泄露或被提取。
影響 Keystone 硬件或固件的遠程代碼執行。

不在賞金項目範圍的漏洞

不在範圍內的漏洞舉例：

第三方應用程序、網站、服務或庫中的漏洞。
沒有充分證據支持的報告，例如缺少可運行的概念驗證項目、復現步驟、調試輸出、日誌或工具輸出。
Keystone 網站上的漏洞，除非它們能夠直接導致 Keystone 硬件或固件中的漏洞。
SPF、DKIM 或 DMARC 配置相關問題。
缺少 CSRF tokens，除非有證據表明存在可被利用的實際敏感用戶操作。
拒絕服務攻擊。
垃圾郵件、釣魚、社會工程或僅有點擊劫持的報告。
沒有實際可利用路徑的理論性攻擊。
僅聲稱存在漏洞，但缺少清晰技術說明、可復現證據或可運行 PoC 的報告。

政策說明

Keystone 強烈支持並鼓勵以善意方式對我們的產品進行安全研究，倡導負責任的漏洞披露。

因此，對於善意遵守本 Bug 賞金項目的人員，或者意外或善意違反本政策的人員，Keystone 不會以任何方式進行威脅或對其采取法律行動。

只要您遵守本政策，Keystone 將放棄適用服務條款中原本會禁止您參與本項目的任何限制，僅限於在本政策下進行授權的安全研究這一目的。

未經 Keystone 事先書面同意，您不得以任何方式向任何第三方公開披露、分享、出售、轉讓或以其他方式透露您的研究結果、漏洞利用細節、概念驗證或提交內容。

提交要求

所有漏洞提交必須同時包含以下兩項：

一個可運行的概念驗證（PoC）項目
一份詳細的漏洞報告

未同時包含以上兩項的報告可能會因不完整而被拒絕。

概念驗證（PoC）要求

您的提交必須包含一個可運行的概念驗證項目，用於演示並驗證所聲稱的漏洞。

PoC 應足以使 Keystone 能夠在合理的測試環境中復現該問題。如適用，請包括：

復現問題所需的源代碼、腳本、測試文件或項目文件。
構建和運行說明。
所需的依賴項、版本及環境細節。
輸入文件、攻擊載荷、二維碼、交易數據或其他測試材料。
預期結果與實際結果。
任何有助於驗證問題的日誌、截圖、視頻或調試輸出。

僅描述可能存在的問題，而沒有可運行的 PoC 項目或可靠復現方法的報告，可能不符合獲得獎勵的資格。

漏洞報告要求

您的漏洞報告必須對所聲稱的漏洞提供清晰、詳細的描述。

報告至少應包括：

漏洞的清晰摘要。
受影響的產品、組件、固件版本、提交哈希或運行環境。
對根本原因的詳細技術說明。
分步復現說明。
安全影響的描述。
攻擊者模型及利用所需的條件。
是否需要物理訪問。
是否需要用戶交互。
該漏洞是否可能導致私鑰泄露、未經授權的簽名、交易篡改、身份驗證繞過、遠程代碼執行或其他安全影響。
PoC 的任何限制或假設條件。
如有，請提供建議的緩解措施。

漏洞報告必須說明所報告的行為為何是真實的安全漏洞，而不僅僅是異常行為、崩潰或理論性問題。

提交流程

請使用 PGP 加密電子郵件發送至 security@keyst.one。

請以包含您公鑰的明文消息作為郵件開頭，我們會給予相應的回復。

您的提交應包括：

一個能夠復現問題的可運行概念驗證項目。
一份詳細的漏洞報告，描述所聲稱的漏洞、根本原因、復現步驟及潛在影響。
如您希望被署名致謝，請提供您的姓名、所屬機構或 Twitter/X 用戶名。

Keystone 將在 7 個工作日 內回復，以確認收到您的初次聯絡並開始對所報告漏洞進行分類處理。

在我們首次回復之後，除非雙方另行同意或出現特殊情況，Keystone 將在收到後 2 個工作日 內回復就同一報告的後續通信。

在驗證過程中，如果漏洞、PoC、影響或復現流程的任何部分不清晰，Keystone 可能會提出後續問題或要求補充信息。

Keystone 將在驗證、修復及協調披露過程中持續向您同步進展。

對於有效漏洞，Keystone 將與您共同制定合理的協調披露時間表。如需更多時間進行調查、緩解、測試或發布協調，Keystone 可能會請求延期。

賞金

對有效漏洞授予獎勵的決定由 Keystone 自行決定。

每筆賞金的金額將基於但不限於以下因素：

漏洞的嚴重程度。
受影響數據的分類及敏感性。
實際可利用性。
攻擊者所需的能力。
是否需要物理訪問。
是否需要用戶交互。
對用戶資產、私鑰、交易完整性或產品安全的影響。
漏洞報告的完整性和質量。
可運行概念驗證項目的質量與可靠性。
對 Keystone 用戶及品牌的整體風險。

獎勵將以比特幣的形式直接支付給研究人員。

依據您的居住地或公民身份所屬司法管轄區的法律，您將承擔所有稅務方面的責任。

Keystone 可能隨時修改本項目的條款或終止本項目，恕不另行通知。

支持的钱包和币种

基础信息

联盟计划

战略伙伴

联名款

Bug 賞金項目

购物车