Безопасность в Blockchain0x.
Платежи агентов перемещают реальные деньги. Архитектурные решения, которые защищают средства клиентов, текущая позиция по аудиту и как с нами связаться, если вы обнаружите что-то неправильное.
Что вы можете ожидать от этой страницы.
Мы компания на ранней стадии, поставляющая инфраструктуру, которой клиенты будут доверять в вопросах платежной власти. Доверие строится на том, что вы можете проверить, а не на том, что вам говорят. Эта страница документирует четыре вещи, которые клиенты и исследователи безопасности могут проверить или на которые могут ссылаться: архитектурные гарантии, которые действуют даже если мы ошибаемся во всем остальном, текущее состояние нашей аудиторской позиции (включая то, что мы еще не сделали), объем и вознаграждения нашей программы поощрения за ошибки, а также контактный путь для ответственного раскрытия информации.
What this page is not: a marketing surface designed to look maximally serious about security. We did not invent security certifications we do not hold, did not list "compliance" with frameworks we have not audited against, and did not put trust badges on the page that we did not earn. When we have a SOC 2 attestation or a third-party penetration test report, those will be referenced here with the auditing firm, the date, and the scope. Until then, this page says so plainly.
Четыре свойства, которые сохраняются по конструкции.
Гарантии ниже являются архитектурными - это свойства того, как система построена, а не того, как она эксплуатируется. Операционная безопасность может нарушаться (утечка ключа, неправильно настроенная развертка); архитектурные гарантии не зависят от того, чтобы повседневные операции были идеальными. Это те части истории безопасности, на которые вы можете полагаться даже в худшую неделю операций.
Некастодиальный на уровне платформы
Blockchain0x не удерживает средства клиентов. Кошельки принадлежат агенту (или основному провайдеру хранения, к которому подключен клиент, например, Circle Programmable Wallets или Coinbase Smart Wallet). Сервис Blockchain0x управляет разработческой поверхностью над этими кошельками - API, панель управления, идентичность, политика расходов - и никогда не имеет полномочий на подпись по остаткам.
Политика расходов применяется на стороне сервера, а не в агенте
Ежедневные лимиты, потолки на платежи, белые списки контрагентов и временные окна оцениваются API кошелька Blockchain0x для каждого намерения платежа перед расчетом. Время выполнения агента не может получить доступ к хранилищу политик; агент, который подвергается инъекции, все равно не может повысить свои собственные лимиты.
Подтверждение платежа с проверкой чека
Квитанции о платежах, предоставляемые API, проверяются на стороне сервера по сравнению с исходной транзакцией перед подтверждением. Клиент не может подделать квитанцию локально и представить ее как доказательство платежа; этап проверки квитанции использует ту же модель доверия, что и подписи вебхуков Stripe.
Подписи вебхуков, а не общие секреты в URL
Каждое событие вебхука, которое мы генерируем, подписывается с помощью HMAC-SHA256 над сырым телом, используя секрет подписи для каждого арендатора. Секрет подписи никогда не отправляется в URL или строке запроса. Клиенты проверяют подписи при получении; мы предоставляем эталонные реализации в документации.
Где мы находимся сегодня, честно говоря.
The table below is the current state of external audits, third-party reviews, and certifications. We update this page when any line changes - dates are real, scopes are real, and "planned" means scheduled with a firm, not aspirational.
Тест на проникновение третьей стороны
Запланировано на 4 квартал 2026 годаПервое внешнее тестирование на проникновение запланировано на вторую половину года. Объем: веб-приложение, публичные API, поверхность вебхуков, аутентификация панели управления. Полное резюме отчета будет опубликовано здесь по завершении.
SOC 2 Тип I
Запланировано на 2027Мы не прошли аудит SOC 2 на сегодняшний день. Честный ожидаемый срок для аттестации типа I - первая половина 2027 года; тип II следует после 6-12 месяцев наблюдения.
Аудит смарт-контрактов
Унаследовано от вышестоящегоСегодня мы не используем собственные smart contracts. On-chain primitives - это Circle Programmable Wallets, Coinbase Smart Wallet и базовые contracts Base / USDC, у каждого из которых есть собственные независимые audit reports от команд-эмитентов. Если и когда мы выпустим собственные contracts (features account-abstraction), они будут аудированы до развертывания в mainnet.
Ежегодный внутренний обзор безопасности
В процессеЕжеквартальная ротация секретов, обзор зависимостей и аудит контроля доступа. Контрольный список по жесткой защите перед запуском задокументирован в нашем [гиде по обеспечению безопасности вашего агентского кошелька](/learn/guides/secure-your-agent-wallet) для клиентов; внутренняя версия дублирует его.
Мы платим за исследования в области безопасности.
Мы проводим частную программу по поиску уязвимостей. Отчеты отправляются напрямую на наш адрес электронной почты по безопасности; мы обрабатываем их в течение двух рабочих дней и выплачиваем подтвержденные находки на основе их серьезности. Выплаты производятся в USDC на Base на кошелек, выбранный сообщающим. Мы не требуем юридических соглашений о неразглашении для подачи отчета.
В рамках
- Аутентификация и управление сессиями в dashboard или API.
- Эскалация привилегий между рабочими пространствами или агентами в одной учетной записи.
- Server-side request forgery, command injection или remote code execution в API.
- Обход проверки webhook-подписи или bypass проверки квитанции.
- Обход spend-policy, который позволяет агенту переводить деньги вне заданных лимитов или allowlist.
- Существенная утечка данных (транзакции других tenants, secrets, audit logs).
Вне области
- Self-XSS или атаки, которые требуют, чтобы жертва сама ввела или вставила вредоносный ввод в свою консоль.
- Сообщения, которые зависят от social engineering сотрудников или подрядчиков.
- Сообщения о проблемах со сторонними сервисами, с которыми интегрируется Blockchain0x (Coinbase, Circle и т. д.) - их следует направлять в собственную программу этого стороннего сервиса.
- Результаты проверки тестовых endpoints (`sk_test_` keys, `*.test.blockchain0x.com`, Base Sepolia).
- Отсутствующие security headers без доказанного влияния.
- Теоретические проблемы без работающего proof-of-concept.
| Серьезность | Примеры | Диапазон выплат |
|---|---|---|
| Критический | Перемещение средств между арендаторами, обход политики расходов в больших масштабах, захват аккаунта без действий пользователя. | $5,000 - $25,000 |
| Высокий | Эскалация привилегий с аутентификацией, обход подписи вебхука с измеримым воздействием, подделка запросов на стороне сервера в API. | $1,000 - $5,000 |
| Средний | Хранится XSS в панели управления с реалистичным путем эксплуатации, утечка конфиденциальной информации с ограниченным воздействием. | $250 - $1,000 |
| Низкий | Отраженный XSS с ограниченной возможностью эксплуатации, незначительные утечки информации, рекомендации по усилению безопасности с продемонстрированной ценностью. | $50 - $250 |
Решения о выплатах являются окончательными и принимаются техническим руководителем в разговоре с основателем. Награда предназначена для подтвержденных, воспроизводимых находок в рамках объема; дубликаты уже сообщенной проблемы оплачиваются только первому репортеру. Мы публично указываем репортеров на этой странице по запросу, как только проблема будет исправлена.
Как сообщить о проблеме безопасности.
Отправьте электронное письмо на [email protected] с: описанием проблемы, пошаговым воспроизведением, затронутым URL или конечной точкой, наблюдаемым воздействием и вашей контактной информацией для выплаты вознаграждения (адрес кошелька Base достаточно; реальное имя не требуется). Зашифрованные отчеты приветствуются - наш PGP-ключ доступен по запросу.
Мы обязуемся подтвердить получение вашего отчета в течение двух рабочих дней, провести приоритизацию в течение пяти и предоставить исправление или решение о принятии риска в течение тридцати дней для подтвержденных находок (или раньше для критических проблем). Мы не угрожаем юридическими действиями против добросовестных исследований безопасности, которые следуют нормам ответственного раскрытия информации - раскрывая данные только в той мере, в которой это необходимо для демонстрации проблемы, не экстрагируя данные клиентов, не проводя разрушительные тесты, которые влияют на пользователей в производственной среде.
Для вопросов, не связанных с безопасностью (общая поддержка, выставление счетов, партнерства), используйте /contact. Электронная почта по безопасности контролируется только для отчетов о безопасности.
Что мы говорим, если что-то пойдет не так.
Производственные инциденты, которые влияют на средства клиентов, данные клиентов или доступность API платежей, получают публичный постмортем в течение тридцати дней после разрешения, независимо от серьезности. Меньшие инциденты (ухудшение производительности, частичные сбои в регионах) сообщаются через обновления статуса затронутым клиентам, но не обязательно получают постмортем.
Мы не обвиняем клиентов в постмортемах. Мы не обвиняем сторонних поставщиков, если коренная причина была нашей. Мы прямо называем коренные причины, перечисляем, что мы меняем в результате, и оставляем постмортем доступным на неопределенный срок. Ожидание клиентов должно быть таким, что мы расскажем вам, что произошло, прежде чем вам придется спрашивать.
Контакт по безопасности
Отчеты и заявки на вознаграждение: [email protected]. PGP-ключ по запросу.