ความปลอดภัยที่ Blockchain0x.
การชำระเงินของตัวแทนเคลื่อนย้ายเงินจริง. ตัวเลือกทางสถาปัตยกรรมที่ปกป้องเงินทุนของลูกค้า, ท่าทีการตรวจสอบในปัจจุบัน, และวิธีการติดต่อเราหากคุณพบสิ่งผิดปกติ.
สิ่งที่คุณสามารถคาดหวังจากหน้านี้
เราคือบริษัทในระยะเริ่มต้นที่จัดส่งโครงสร้างพื้นฐานที่ลูกค้าจะไว้วางใจกับอำนาจการชำระเงิน ความไว้วางใจสร้างขึ้นจากสิ่งที่คุณสามารถตรวจสอบได้ ไม่ใช่จากสิ่งที่คุณถูกบอก หน้าเว็บนี้บันทึกสิ่งสี่อย่างที่ลูกค้าและนักวิจัยด้านความปลอดภัยสามารถตรวจสอบหรือถือเราได้: การรับประกันทางสถาปัตยกรรมที่ยังคงอยู่แม้ว่าเราจะผิดเกี่ยวกับสิ่งอื่นทั้งหมด สถานะปัจจุบันของการตรวจสอบของเรา (รวมถึงสิ่งที่เรายังไม่ได้ทำ) ขอบเขตและรางวัลของโปรแกรมบั๊กบาวตี้ของเรา และเส้นทางการติดต่อสำหรับการเปิดเผยข้อมูลอย่างรับผิดชอบ.
What this page is not: a marketing surface designed to look maximally serious about security. We did not invent security certifications we do not hold, did not list "compliance" with frameworks we have not audited against, and did not put trust badges on the page that we did not earn. When we have a SOC 2 attestation or a third-party penetration test report, those will be referenced here with the auditing firm, the date, and the scope. Until then, this page says so plainly.
สี่คุณสมบัติที่ถือว่ามีอยู่ตามการสร้าง
การรับประกันด้านล่างนี้เป็นด้านสถาปัตยกรรม - พวกเขาคือคุณสมบัติของวิธีการสร้างระบบ ไม่ใช่วิธีการดำเนินการ ความปลอดภัยในการดำเนินงานอาจล้มเหลว (คีย์รั่วไหล, การปรับใช้ที่กำหนดค่าไม่ถูกต้อง); การรับประกันด้านสถาปัตยกรรมไม่ขึ้นอยู่กับการดำเนินงานในแต่ละวันที่สมบูรณ์แบบ นี่คือส่วนของเรื่องราวความปลอดภัยที่คุณสามารถพึ่งพาได้แม้ในสัปดาห์ที่เลวร้ายที่สุดของการดำเนินงาน.
ไม่เก็บรักษาที่ชั้นแพลตฟอร์ม
Blockchain0x ไม่ถือเงินของลูกค้า กระเป๋าเงินเป็นของตัวแทน (หรือตัวให้บริการการดูแลที่ลูกค้าเชื่อมต่อ เช่น Circle Programmable Wallets หรือ Coinbase Smart Wallet) บริการ Blockchain0x ดำเนินการพื้นผิวการพัฒนาที่อยู่เหนือกระเป๋าเงินเหล่านั้น - APIs, แดชบอร์ด, อัตลักษณ์, นโยบายการใช้จ่าย - และไม่มีอำนาจในการลงนามเหนือยอดเงิน.
นโยบายการใช้จ่ายที่บังคับใช้ที่ฝั่งเซิร์ฟเวอร์ ไม่ใช่ในเอเจนต์
ขีดจำกัดรายวัน, เพดานต่อการชำระเงิน, รายชื่ออนุญาตของคู่ค้า, และช่วงเวลาจะถูกประเมินโดย API กระเป๋าเงิน Blockchain0x ในทุกความตั้งใจในการชำระเงินก่อนการชำระเงินจริง ตัวรันไทม์ของตัวแทนไม่สามารถเข้าถึงที่เก็บนโยบายได้; ตัวแทนที่ถูกฉีดคำสั่งยังไม่สามารถเพิ่มขีดจำกัดของตนเองได้
การยืนยันการชำระเงินที่ตรวจสอบใบเสร็จ
ใบเสร็จการชำระเงินที่ปรากฏโดย API จะถูกตรวจสอบที่ฝั่งเซิร์ฟเวอร์กับธุรกรรมที่ออกก่อนที่จะยืนยัน ลูกค้าไม่สามารถปลอมใบเสร็จในท้องถิ่นและนำเสนอเป็นหลักฐานการชำระเงินได้; ขั้นตอนการตรวจสอบใบเสร็จเป็นโมเดลความเชื่อมั่นเดียวกับที่ใช้ลายเซ็น webhook ของ Stripe.
ลายเซ็น webhook ไม่ใช่ความลับที่แชร์ใน URLs
ทุกเหตุการณ์ webhook ที่เราส่งออกจะถูกลงนามด้วย HMAC-SHA256 บนเนื้อดิบโดยใช้ความลับในการลงนามต่อผู้เช่า ความลับในการลงนามจะไม่ถูกส่งใน URL หรือสตริงคำค้น ลูกค้าจะตรวจสอบลายเซ็นเมื่อได้รับ; เราให้การใช้งานอ้างอิงในเอกสาร
วันนี้เราอยู่ที่ไหน อย่างตรงไปตรงมา
The table below is the current state of external audits, third-party reviews, and certifications. We update this page when any line changes - dates are real, scopes are real, and "planned" means scheduled with a firm, not aspirational.
การทดสอบการเจาะจากบุคคลที่สาม
วางแผนสำหรับไตรมาสที่ 4 ปี 2026การทดสอบการเจาะระบบภายนอกครั้งแรกมีกำหนดในช่วงครึ่งหลังของปี ขอบเขต: แอปเว็บ, API สาธารณะ, พื้นผิว webhook, การตรวจสอบแดชบอร์ด สรุปรายงานฉบับสมบูรณ์จะเผยแพร่ที่นี่เมื่อเสร็จสิ้น
SOC 2 Type I
ตั้งเป้าไว้สำหรับปี 2027เรายังไม่ได้รับการตรวจสอบ SOC 2 ในวันนี้ ช่วงเวลาที่คาดหวังอย่างซื่อสัตย์สำหรับการรับรองประเภท I คือครึ่งแรกของปี 2027; ประเภท II จะตามมาหลังจากช่วงเวลาการสังเกต 6 ถึง 12 เดือน
การตรวจสอบสัญญาอัจฉริยะ
สืบทอดจากต้นน้ำตอนนี้เราไม่ได้ดูแล smart contracts ของเราเอง on-chain primitives ที่ใช้อยู่คือ Circle Programmable Wallets, Coinbase Smart Wallet, และ contracts พื้นฐานของ Base / USDC ซึ่งทั้งหมดมีรายงาน audit อิสระของตนเองจากทีมผู้ออก หากและเมื่อเราเปิดใช้ contracts ของเราเอง (ฟีเจอร์ account-abstraction) จะต้องผ่านการ audit ก่อนนำขึ้น mainnet
การตรวจสอบความปลอดภัยภายในประจำปี
กำลังดำเนินการการหมุนเวียนความลับรายไตรมาส, การตรวจสอบการสแกนความพึ่งพา, และการตรวจสอบการควบคุมการเข้าถึง รายการตรวจสอบการเสริมความแข็งแกร่งก่อนการเปิดตัวได้ถูกบันทึกใน [คู่มือการรักษาความปลอดภัยกระเป๋าเงินของคุณ](/learn/guides/secure-your-agent-wallet) สำหรับลูกค้า; เวอร์ชันภายในจะสะท้อนสิ่งนี้.
เราให้เงินสนับสนุนการวิจัยด้านความปลอดภัย
เราเปิดโปรแกรมรางวัลบั๊กแบบส่วนตัว รายงานจะถูกส่งตรงไปยังอีเมลด้านความปลอดภัยของเรา; เราจะจัดการภายในสองวันทำการและจ่ายเงินสำหรับการค้นพบที่ได้รับการยืนยันตามระดับความรุนแรง การจ่ายเงินจะเป็น USDC บน Base ไปยังกระเป๋าเงินที่ผู้รายงานเลือก เราไม่ต้องการ NDA ทางกฎหมายในการส่งรายงาน
อยู่ในขอบเขต
- การยืนยันตัวตนและการจัดการ session บนแดชบอร์ดหรือ API
- การยกระดับสิทธิ์ระหว่าง workspaces หรือเอเจนต์ในบัญชีเดียวกัน
- server-side request forgery, command injection, หรือ remote code execution ใน API
- การข้ามการตรวจสอบลายเซ็น webhook หรือการข้ามการตรวจสอบ receipt
- การ bypass spend-policy ที่ทำให้เอเจนต์ย้ายเงินออกนอกเพดานหรือ allowlist ที่กำหนดไว้
- การเปิดเผยข้อมูลจำนวนมาก (ธุรกรรมของผู้เช่ารายอื่น, secrets, audit logs)
นอกเหนือขอบเขต
- Self-XSS หรือการโจมตีที่ต้องให้เหยื่อพิมพ์หรือวางอินพุตที่เป็นอันตรายลงใน console ของตนเอง
- รายงานที่อาศัยการ social-engineering กับพนักงานหรือผู้รับจ้าง
- รายงานที่เกี่ยวกับบริการบุคคลที่สามซึ่ง Blockchain0x เชื่อมต่อด้วย (Coinbase, Circle ฯลฯ) - ควรส่งไปยังโปรแกรมของบุคคลที่สามโดยตรง
- ผลการตรวจพบจาก test endpoint (`sk_test_` keys, `*.test.blockchain0x.com`, Base Sepolia)
- security headers ที่หายไปโดยไม่มีผลกระทบที่แสดงให้เห็น
- ปัญหาเชิงทฤษฎีที่ยังไม่มี proof-of-concept ที่ใช้งานได้จริง
| ความรุนแรง | ตัวอย่าง | ช่วงการจ่ายเงิน |
|---|---|---|
| วิกฤต | การเคลื่อนย้ายเงินข้ามผู้เช่า, การหลีกเลี่ยงนโยบายการใช้จ่ายในขนาดใหญ่, การเข้าควบคุมบัญชีโดยไม่ต้องมีการกระทำจากผู้ใช้ | $5,000 - $25,000 |
| สูง | การเพิ่มสิทธิ์ที่ตรวจสอบแล้ว การข้ามลายเซ็นเว็บฮุกที่มีผลกระทบที่วัดได้ การปลอมแปลงคำขอด้านเซิร์ฟเวอร์ใน API | $1,000 - $5,000 |
| กลาง | Stored XSS ในแดชบอร์ดที่มีเส้นทางการโจมตีที่สมจริง, การรั่วไหลของข้อมูลที่ละเอียดอ่อนที่มีผลกระทบจำกัด. | $250 - $1,000 |
| ต่ำ | XSS ที่สะท้อนกลับด้วยความสามารถในการโจมตีที่จำกัด, การรั่วไหลของข้อมูลเล็กน้อย, คำแนะนำในการเสริมความแข็งแกร่งที่มีมูลค่าแสดง. | $50 - $250 |
การตัดสินใจการจ่ายเงินเป็นขั้นสุดท้ายและทำโดยหัวหน้าวิศวกรรมในการสนทนากับผู้ก่อตั้ง รางวัลคือสำหรับการค้นพบที่ได้รับการยืนยันและสามารถทำซ้ำได้ภายในขอบเขต; การซ้ำซ้อนของปัญหาที่รายงานไปแล้วจะจ่ายให้กับผู้รายงานคนแรกเท่านั้น เราให้เครดิตกับผู้รายงานในหน้านี้ตามคำขอเมื่อปัญหาได้รับการแก้ไข
วิธีการรายงานปัญหาด้านความปลอดภัย.
ส่งอีเมล [email protected] พร้อมกับ: คำอธิบายของปัญหา, การทำซ้ำแบบทีละขั้นตอน, URL หรือ endpoint ที่ได้รับผลกระทบ, ผลกระทบที่คุณสังเกตเห็น, และข้อมูลการติดต่อของคุณสำหรับการจ่ายเงินรางวัล (ที่อยู่กระเป๋า Base เพียงพอ; ไม่ต้องใช้ชื่อจริง) รายงานที่เข้ารหัสยินดีต้อนรับ - กุญแจ PGP ของเรามีให้ตามคำขอ
เราขอรับรองว่าจะตอบรับรายงานของคุณภายในสองวันทำการ จัดลำดับความสำคัญภายในห้า และจัดส่งการแก้ไขหรือการตัดสินใจรับความเสี่ยงภายในสามสิบวันสำหรับการค้นพบที่ได้รับการยืนยัน (หรือเร็วกว่าสำหรับปัญหาที่สำคัญ) เราไม่ข่มขู่ทางกฎหมายต่อการวิจัยด้านความปลอดภัยที่มีเจตนาดีซึ่งปฏิบัติตามมาตรฐานการเปิดเผยข้อมูลอย่างรับผิดชอบ - เปิดเผยข้อมูลเพียงเท่าที่จำเป็นเพื่อแสดงปัญหา ไม่ขโมยข้อมูลลูกค้า ไม่ทำการทดสอบที่รบกวนที่มีผลต่อผู้ใช้ในระบบผลิต.
สำหรับปัญหาที่ไม่เกี่ยวกับความปลอดภัย (การสนับสนุนทั่วไป, การเรียกเก็บเงิน, ความร่วมมือ) ใช้ /contact. อีเมลด้านความปลอดภัยจะถูกตรวจสอบเฉพาะสำหรับรายงานด้านความปลอดภัย
สิ่งที่เราพูดหากมีบางอย่างผิดพลาด
เหตุการณ์การผลิตที่มีผลกระทบต่อเงินทุนของลูกค้า ข้อมูลของลูกค้า หรือความพร้อมใช้งานของ API การชำระเงินจะได้รับการตรวจสอบสาธารณะภายในสามสิบวันหลังจากการแก้ไข ไม่ว่าจะมีความรุนแรงเพียงใด เหตุการณ์ที่เล็กกว่าซึ่งมีประสิทธิภาพลดลงหรือการหยุดทำงานในบางภูมิภาคจะมีการสื่อสารผ่านการอัปเดตสถานะไปยังลูกค้าที่ได้รับผลกระทบ แต่ไม่จำเป็นต้องได้รับการตรวจสอบ
เราไม่ตำหนิลูกค้าในโพสต์มอร์ตัม เราไม่ตำหนิผู้ให้บริการบุคคลที่สามหากสาเหตุหลักเป็นของเรา เราระบุสาเหตุหลักอย่างชัดเจน รายการสิ่งที่เรากำลังเปลี่ยนแปลงเป็นผล และเก็บโพสต์มอร์ตัมไว้ให้เข้าถึงได้ตลอดไป ความคาดหวังที่ลูกค้าควรมีคือเราจะบอกคุณว่าเกิดอะไรขึ้นก่อนที่คุณจะต้องถาม.
ติดต่อด้านความปลอดภัย
รายงานและการส่งรางวัล: [email protected]. คีย์ PGP ตามคำขอ.