Kraken

Баг-баунті

Біткоїн-винагорода 
за знайдені помилки

Баг-баунті

Наша команда експертів доклала усіх зусиль, щоб усунути всі помилки в наших системах. Однак, завжди є можливість, що ми пропустили щось особливо вразливе. Ми особливо цінуємо ваше співробітництво у відповідальному розслідуванні та повідомленні про виявлену помилку, щоб ми могли якнайшвидше виправити її. За суттєві помилки ми пропонуємо винагороду та визнання на нашій стіні слави (див. далі).

 

Відповідальне розслідування та повідомлення 

Відповідальне розслідування та повідомлення включають, але не обмежуються, наступне:

  • Не порушуйте конфіденційність інших користувачів, не знищуйте дані, не зламуйте наші продукти тощо.
  • Працюйте лише зі своїми власними акаунтами під час дослідження помилки. Не намагайтеся отримати доступ до акаунтів інших користувачів, чи не порушуйте їх іншим чином.
  • Не зламуйте наші заходи фізичної безпеки, та не намагайтеся використовувати соціальну інженерію, спам, розподілені атаки (DDOS) тощо.
  • Спочатку повідомте про помилку тільки нам, а не комусь іншому.
  • Надайте нам достатньо часу для виправлення помилки перед тим, як розкрити її іншим, та дайте нам належне письмове попередження, перш ніж розкривати її іншим.

Загалом, шукайте помилки та повідомляйте про них у спосіб розумних і сумлінних зусиль, що не є руйнівними чи шкідливими для нас або наших користувачів. Інакше ваші дії можуть тлумачитися як атака, а не як спроба допомогти.

 

Прийнятність

Загалом, будь-яка помилка зі значною вразливістю чи небезпекою для нашого сайту, або для цілісності нашої торгової системи, може заслуговувати на винагороду. Однак, ми залишаємо за собою виключне право вирішувати, чи помилка заслуговує винагороди.

Проблеми безпеки, котрі вважаються прийнятними для винагороди (не обов'язково у всіх випадках), включають:

  • Підробка запитів між сайтами (CSRF)
  • Сценарії між сайтами (XSS)
  • Вставка коду
  • Віддалене виконання коду
  • Ескалація привілеїв
  • Обхід автентифікації
  • Клікджекінг
  • Витік конфіденційних даних

 

Неприйнятність

Помилки, котрі не передбачають винагороди:

  • Уразливості на сайтах, розміщених третіми сторонами (support.kraken.com, тощо), якщо вони не призводять до уразливості на основному веб-сайті.
  • Уразливості та помилки на блозі Кракен (blog.kraken.com)
  • Уразливість до фізичної атаки, соціальної інженерії, спаму, атаки DDOS тощо.
  • Уразливості, які впливають на застарілі чи ненавантажені веб-браузери.
  • Уразливості додатків третіх сторін, які використовують Kraken API.
  • Помилки, котрі не перевірено та повідомлено належним чином.
  • Помилки, вже відомі нам, або вже повідомлені іншими (винагорода надходить до першого репортера).
  • Проблеми, які не відтворюються.
  • Проблеми, котрим ми очевидно не можемо зарадити.

 

Винагорода

  • Мінімальна винагорода за прийнятні помилки - еквівалент 100 доларів США в біткоїні.
  • Винагороди понад мінімальний розмір залишаються на наш розсуд, але ми заплатимо значно більше за особливо серйозні проблеми.
  • Лише одна винагорода за кожну помилку.

 

Як повідомити про помилку

  • Надішліть звіт про помилку на bugbounty@kraken.com.
  • Спробуйте включити в свій звіт якомога більше інформації, в т.ч. опис помилки, її потенційний вплив і кроки для її відтворення або підтвердження концепції.
  • Вкажіть свої ім’я та посилання для відображення на нашій Стіні Слави (необов'язково).
  • Включіть адресу BTC для оплати.
  • Дайте нам два робочі дні для відповіді, перш ніж надсилати наступного листа.

 

Стіна Слави

Люди, котрі зробили свій внесок у програму:

Rewards

All bounty submissions are rated by Kraken and paid out based on vulnerability rating. All payouts will proceed in BTC and are defined as a guideline and subject to change.

  • All bug reports must be submitted to bugbounty@kraken.com
  • Asking for payment in exchange for vulnerability details will result in immediate ineligibility of bounty payments. 
  • If we cannot reproduce your findings, your report will not be eligible for payout. We ask you to provide as detailed a report as possible with all steps necessary to reproduce your findings. 
  • Include your Bitcoin (BTC) Address for Payment. All rewards will be issued in Bitcoin.
  • The minimum payout is Bitcoin (BTC) equivalent of $500 USD.

Program Statistics

  • 39 reports rewarded in the last year
  • $805 average payout in the last year

Wall of Fame

See below some of the researchers who have been previously rewarded through Kraken's Bug Bounty program.

Wall of FameResearcherAmount Rewarded
InducteesSunil Yeda - Twitter$6,400
 Gal Nagli - Twitter, LinkedIn$3,500
 Ranjeet Kumar Singh - Twitter, LinkedIn$2,900
This information is updated monthly.

Vulnerability Ratings

Critical

Critical severity issues present a direct and immediate risk to a broad array of our users or to Kraken itself. They often affect relatively low-level /foundational components in one of our application stacks or infrastructure. For example:

  • arbitrary code/command execution on a server in our production network.
  • arbitrary queries on a production database.
  • bypassing our sign-in process, either password or 2FA.
  • access to sensitive production user data or access to internal production systems.

 

High

High severity issues allow an attacker to read or modify highly sensitive data that they are not authorized to access. They are generally more narrow in scope than critical issues, though they may still grant an attacker extensive access. For example:

  • XSS which bypasses CSP
  • Discovering sensitive user data in a publicly exposed resource
  • Gaining access to a non-critical, system to which an end user account should not have access

 

Medium

Medium severity issues allow an attacker to read or modify limited amounts of data that they are not authorized to access. They generally grant access to less sensitive information than high severity issues. For example:

  • Disclosing non-sensitive information from a production system to which the user should not have access
  • XSS that does not bypass CSP or does not execute sensitive actions in another user’s session
  • CSRF for low risk actions

 

Low

Low severity issues allow an attacker to access extremely limited amounts of data. They may violate an expectation for how something is intended to work, but it allows nearly no escalation of privilege or ability to trigger unintended behavior by an attacker. For example:

  • Triggering verbose or debug error pages without proof of exploitability or obtaining sensitive information.

 

Ineligibility

Reports in which we are not interested include:

  • Vulnerabilities on sites hosted by third parties (support.kraken.com, etc) unless they lead to a vulnerability on the main website. Vulnerabilities and bugs on the Kraken blog (blog.kraken.com)
  • Vulnerabilities contingent on physical attack, social engineering, spamming, DDOS attack, etc.
  • Vulnerabilities affecting outdated or unpatched browsers.
  • Vulnerabilities in third party applications that make use of Kraken's API.
  • Vulnerabilities that have not been responsibly investigated and reported.
  • Vulnerabilities already known to us, or already reported by someone else (reward goes to first reporter). Issues that aren't reproducible.
  • Vulnerabilities that require an improbable level of user interaction.
  • Vulnerabilities that require root/jailbreak on mobile.
  • Missing security headers without proof of exploitability.
  • TLS Cipher Suites offered.
  • Suggestions on best practices.
  • Software version disclosure.
  • Any report without an accompanying proof of concept exploit.
  • Issues that we can't reasonably be expected to do anything about.
  • The output from automated tools/scanners.
  • Issues without any security impact.

 

Non-security Issues

You can let us know about non-security issues at https://support.kraken.com.