Bug bounty de Bit2Me

En Bit2Me nos encanta la cultura hacker: forma parte del ADN de nuestra empresa y algunos de nosotros participamos habitualmente en hackathones y competiciones CTF (Capture The Flag). Trabajamos para construir la mejor plataforma de criptomonedas del mundo y para que activos como Bitcoin tengan cada vez mayor aceptación en la sociedad.

Como startup, avanzamos a un ritmo muy rápido (actualizaciones, nuevos productos...) y, como cualquier equipo humano, podemos pasar algo por alto. Por eso ponemos a disposición de la comunidad hacker nuestro programa Bug Bounty, que iremos ampliando a medida que la compañía crezca. A continuación resolvemos las preguntas más frecuentes sobre su funcionamiento.

¿Cuáles son las reglas del programa Bug Bounty?

Para participar en el programa debes cumplir las siguientes reglas:

• Durante las pruebas debes añadir la cabecera X-BUGBOUNTY-HACKER: <tu_nombre_de_hacker> para que podamos identificar tus solicitudes.
• Solo se aceptan informes de vulnerabilidades no reportadas con anterioridad. En caso de duplicados, se recompensa siempre al primer informador que haya cumplido estas reglas; si no las cumple, se sigue el orden de reporte, del más antiguo al más reciente.
• Proporciona las evidencias e información suficientes para que nuestro equipo de ingeniería pueda reproducir y solucionar la vulnerabilidad.
• No muestres ningún tipo de conducta ilegal o coactiva al comunicar la vulnerabilidad a Bit2Me (amenazas, demandas u otras tácticas similares).
• No explotes la vulnerabilidad de forma que se exfiltre información sensible públicamente, ni obtengas beneficio de ella antes de recibir la recompensa de Bit2Me.
• No provoques la destrucción de datos ni la interrupción de ningún servicio de Bit2Me durante el proceso.
• Informa de una sola vulnerabilidad por solicitud, salvo que necesites encadenar varias para maximizar el impacto de un mismo tipo de vulnerabilidad.
• No informes de una vulnerabilidad causada por el mismo problema subyacente que otra por la que ya se haya pagado una recompensa en este programa.
• Varias vulnerabilidades causadas por un mismo problema subyacente recibirán una única recompensa.
• Una misma vulnerabilidad reproducible en más de un servicio o subdominio se tratará como una única vulnerabilidad.
• No está permitido publicar en ningún medio de Internet una explotación realizada con éxito durante tu participación en el programa.

¿Qué ocurre si la vulnerabilidad ya ha sido reportada?

Solo se recompensa al primer informador de cada vulnerabilidad. Todos los reportes recibidos quedan registrados internamente con su fecha y hora de recepción.

Si tu reporte se clasifica como duplicado, te lo comunicaremos indicando la fecha en que la vulnerabilidad fue reportada o detectada por primera vez. Si no estás de acuerdo con esta clasificación, puedes solicitar una revisión respondiendo a ese mismo correo.

¿Qué dominios y aplicaciones entran en el ámbito del programa (scope)?

La búsqueda de vulnerabilidades está limitada a los siguientes activos:

¿Qué vulnerabilidades NO serán aceptadas?

No se aceptarán reportes sobre los siguientes casos:

• Cualquier activo fuera del scope indicado.
• Denegaciones de servicio distribuidas (DDoS), como ataques a través de botnets o herramientas de flooding. Sí se admiten vulnerabilidades que puedan producir una denegación de servicio (DoS) por incongruencias de código, servicios desactualizados o librerías que generen bucles ciclomáticos excesivos.
• Enumeración de cuentas o emails.
• Ataques de fuerza bruta.
• Content spoofing y text injection sin capacidad de modificar HTML/CSS.
• Autoexplotación (por ejemplo, XSS ejecutado con éxito solo en local, scripting en consola, reutilización de token...).
• Cabeceras CORS permisivas.
• Clickjacking con acciones de mínimo impacto.
• Tab-nabbing.
• Vulnerabilidades relacionadas con el autocompletado de formularios.
• Carencia de cabeceras o flags (CSP, X-Frame-Options, Strict-Transport-Security, Content-sniffing, HTTPOnly, atributos de enlace «noopener noreferrer», etc.) que no deriven en una explotación directa.
• Carencia de buenas prácticas en la configuración SSL/TLS.
• Soporte para métodos HTTP como OPTIONS.
• Ataques CSRF que no comprometan la autenticación ni operaciones críticas (añadir a favoritos, cerrar sesión, etc.).
• Exposición de versiones de software o de servicios desactualizados.
• Exposición de directorios o archivos públicos de mínimo impacto (por ejemplo, robots.txt).
• Bugs en navegadores poco comunes o no soportados por Bit2Me.
• Ataques MITM que requieran acceso físico al dispositivo de un usuario.
• Cualquier ataque físico contra las instalaciones de Bit2Me o sus centros de datos.
• Paneles de login accesibles públicamente.
• Problemas de UX o usabilidad que no impliquen fallos de seguridad.
• Problemas sin impacto en la seguridad (por ejemplo, un fallo al cargar una página).
• Ingeniería social (phishing, vishing, smishing) contra empleados, proveedores, clientes o usuarios de Bit2Me.
• Vulnerabilidades ya conocidas por nosotros o ya reportadas por otra persona.
• Otros casos que el equipo de ciberseguridad considere fuera del alcance del programa.

¿Cómo reporto un bug?

Sigue estos pasos para enviarnos tu informe:

1. Envía tu informe por correo electrónico a bugbounty@bit2me.com.
2. Incluye el mayor número de evidencias posible: título de la vulnerabilidad, descripción de cada paso de la explotación, herramientas utilizadas, versión del navegador, capturas de pantalla (o incluso vídeo), etc.
3. Adjunta la PoC (prueba de concepto), si la has realizado, y una explicación de cómo corregir la vulnerabilidad. Esta explicación es obligatoria.
4. Espera nuestra respuesta en un plazo de hasta 10 días laborables. Si tu solicitud es aceptada, y tras la firma del acuerdo de confidencialidad (NDA) del programa, te abonaremos la recompensa según lo indicado en la política de respuestas.

¿Cuánto tardáis en responder y cómo se paga la recompensa?

Bit2Me hará siempre todo lo posible por cumplir la siguiente política de respuestas ante las solicitudes enviadas por los participantes del programa:

¿Cuánto puedo recibir como recompensa?

Las recompensas oscilan entre 50 € para vulnerabilidades de criticidad baja y 5.000 € para las altamente críticas. Se asignan según nuestro criterio de criticidad de la vulnerabilidad:

Para las vulnerabilidades que nuestro equipo interno de ciberseguridad considere MUY críticas, Bit2Me cuenta con una recompensa especial de 5.000 €.

¿Qué tipo de vulnerabilidades buscáis?

Estos son algunos ejemplos de las vulnerabilidades que nos interesan:

• XSS (excluyendo self-XSS).
• CSRF (excluyendo los que involucren acciones sin impacto).
• Remote Code Execution.
• Authentication Bypass.
• SQL Injection.
• Filtración de información sensible.
• LFI/RFI.
• Privilege Escalation.
• Vulnerabilidades que puedan causar la pérdida de fondos o bienes del usuario.
• Vulnerabilidades que puedan causar la filtración remota de datos confidenciales de la empresa.

• Si el informe no incluye una PoC válida, la recompensa se decidirá según la reproducibilidad y severidad de la vulnerabilidad, y su importe podrá reducirse significativamente.
• Publicar en Internet una explotación realizada con éxito supondrá la denegación de futuras solicitudes y la suspensión de los pagos de recompensa pendientes.
• Para cobrar la recompensa necesitas una cuenta de Bit2Me con la verificación de identidad completada y haber firmado el NDA del programa.
• Recuerda añadir siempre la cabecera X-BUGBOUNTY-HACKER en tus pruebas: sin ella no podremos identificar tus solicitudes.