> For the complete documentation index, see [llms.txt](https://novacont.gitbook.io/nova-docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://novacont.gitbook.io/nova-docs/novacont-docs/russian-novacont-docs/programma-bug-bounty-i-otvetstvennoe-raskrytie.md).

# Программа Bug Bounty и ответственное раскрытие

**Что предлагает эта программа**

NovaCont в настоящее время не предлагает денежного или материального вознаграждения за обнаруженные уязвимости.

Подтверждённые отчёты отмечаются в Зале славы с разрешения исследователя, независимо от серьёзности. Мы рассматриваем это как признание, а не компенсацию, и предпочитаем сказать об этом прямо, а не рекламировать вознаграждение, которое мы не можем обеспечить на уровне, соответствующем проделанной работе.

Финансируемая программа планируется и будет оплачиваться из комиссий протокола. Когда она появится, суммы будут опубликованы на этой странице. До тех пор, пожалуйста, воспринимайте вышесказанное как полное предложение, а не как начальную позицию.

Ничто из этого не меняет порядок обработки отчётов. Каждая находка проходит сортировку, исправляется и документируется на одних и тех же условиях независимо от наличия денежного вознаграждения.

**Область программы**

| Контракт          | Сеть | В области? |
| ----------------- | ---- | ---------- |
| NovaCont.sol      | Base | Да         |
| NovaJury.sol      | Base | Нет        |
| NovaContLite.tact | TON  | Да         |

Перед отправкой отчёта убедитесь, что вы смотрите на указанный выше адрес и текущую развёрнутую версию. Информация о версии и исходном коде находится в файле `SECURITY.md` каждого репозитория.

**Вне области:**

* Проблемы фронтенда и интерфейса, включая Telegram Mini App и веб-dApp. Ни один из них не хранит пользовательские средства; контракты являются границей безопасности. Сообщайте о таких проблемах на <support@novatechnology.app> как об обычных ошибках, если только вы не можете продемонстрировать воздействие на блокчейн.
* Сторонняя инфраструктура: сами Base и TON, Chainlink, TonConnect, Telegram, приложения кошельков, публичные RPC-эндпоинты.
* Социальная инженерия против пользователей или команды.
* Отказ в обслуживании, требующий нереалистичных ресурсов или расхода газа.
* Находки инструментов статического анализа без продемонстрированной эксплуатируемости, в частности классы оптимизации газа и предпочтений API, уже задокументированные в наших собственных опубликованных сканах.
* Известные, принятые проектные компромиссы. Они перечислены для каждого контракта в файлах `SECURITY.md` репозитория, в первую очередь централизация разрешения споров.

**Серьёзность**

Серьёзность определяет приоритет сортировки и способ документирования находки, а не размер выплаты. Полные определения для каждого контракта находятся в файлах `SECURITY.md` репозитория; вкратце:

| Серьёзность | Что охватывает                                                                                                                            |
| ----------- | ----------------------------------------------------------------------------------------------------------------------------------------- |
| Critical    | Любой путь к несанкционированному выводу заблокированных средств или к распределению больше, чем заблокировано в соглашении               |
| High        | Средства доступны, но навсегда застряли; нарушение порядка переходов состояний; обход тайм-аута или проверки авторизации                  |
| Medium      | Отказ в обслуживании для конкретного соглашения или обработчика; неправильный расчёт комиссии или разделения; ошибки назначения резолвера |
| Low         | Неэффективность газа; отсутствующие или вводящие в заблуждение события; ошибки документации без влияния на блокчейн                       |

**Как сообщить**

**Не раскрывайте находку в публичном канале: X, Discord, GitHub Issues или где-либо ещё, до того как она будет рассмотрена и устранена.**

Отправьте отчёт на [**security@novatechnology.app**](mailto:security@novatechnology.app) и включите:

* Затронутый контракт, адрес и функцию или обработчик сообщений
* Пошаговое воспроизведение или доказательство концепции
* Потенциальное воздействие и находятся ли пользовательские средства под угрозой
* Предложенное решение, если оно есть

Что происходит далее:

| Этап                 | Цель                                     |
| -------------------- | ---------------------------------------- |
| Подтверждение        | В течение 48 часов                       |
| Первичная сортировка | В течение 7 дней                         |
| Обновления статуса   | По мере необходимости в ходе исправления |

Поскольку развёрнутые контракты неизменяемы как на Base, так и на TON, устранение подтверждённой проблемы может означать развёртывание новой версии и миграцию, а не исправление на месте. Это занимает больше времени, чем исправление сервера, и мы будем откровенны о плане и сроках после подтверждения находки.

Детали остаются конфиденциальными до выпуска исправления. После этого находка может быть опубликована с разрешения исследователя, в том числе в Зале славы.

**Безопасная гавань**

Мы не будем преследовать юридически исследователей, действующих добросовестно:

* Избегайте нарушения конфиденциальности пользователей
* Не эксплуатируйте уязвимость сверх необходимого для демонстрации воздействия
* Не нарушайте намеренно работу контрактов или приложений
* Следуйте данной политике раскрытия

**Строго запрещено**

Тестирование, нарушающее эти правила, выходит за рамки процесса раскрытия и может создать юридическую ответственность:

* Реальные атаки на средства пользователей в основной сети. Доказательства концепции должны проводиться в тестовой сети или на обеих сторонах соглашения, которое вы профинансировали сами
* Тестирование в реальной среде, которое может привести к отказу в обслуживании для реальных пользователей
* Социальная инженерия или фишинг против реальных пользователей или команды

**Зал славы**

Подтверждённые авторы отчётов перечисляются здесь с их разрешения по мере разрешения отчётов.

*Список будет обновляться по мере разрешения отчётов.*