概述
亲爱的用户，为了能更加充分为用户提供安全的交易环境，我们在此发动全球顶级技术社区的力量最大限度的加强www.kucoin.com的安全系统，我们于2022年8月3日特此建立kucoin.com的Bug与安全建议反馈奖励机制，激励任何有能力的资深安全人员，为kucoin.com提供专业安全建议和漏洞分析。
奖励规则
bug和漏洞反馈奖励分为四个等级，每个等级分别对应如下奖励，且奖励会以USD的形式计算:
严重3000-5000USD高危900-2000USD中危300-500USD低危50-150USD
如果您的漏洞提交被我们接受，请提供以下任意一项来获得奖励：
通过表单提交的漏洞请提供KCC的钱包地址，我们将向您支付KCS。通过Hacken提交的漏洞，我们会向您支付USDT。请注意，漏洞的威胁等级由KuCoin安全工作人员确认，KuCoin自行决定漏洞报告的问题是否满足奖励标准。
Mongraal和Pixel Vault创始人Gfunk接触讨论交易“吉米钥匙”:金色财经报道，UPDAO 成员 ZeeKay 昨天向United Planetary DAO提交了一份提案，如果通过，将授权该组织以690 ETH（约合1,1173,000美元）的价格竞标目前由Mongraal持有排名第一的“下水道通行证”Sewer Pass。据Pixel Vault创始人GFunk在社交媒体披露，职业视频游戏玩家兼DooKey Dash冠军Mongraa 正在与他进行沟通，GFunk也向Mongraal发送了Pixel Vault Founder DAO NFT代币并邀请他讨论这笔交易，Mongrral则回应称：“感谢Gfunk的慷慨，当你准备好出价时，我的私信是开放的。”
目前690 ETH是否足以购买令人垂涎的密钥尚不清楚，因为Mongraal在Dookey Dash游戏中获得“猴子吉米钥匙”后已将该NFT Sewer Pass #21915以2,222 ETH的价格在OpenSea上架，按照当前价格计算超过370万美元。[2023/2/19 12:15:58]
漏洞范围
ZhongJie：熊市最大的挑战就是参与的用户变少了:金色财经现场报道，Head of Product Moledao ZhongJie在Coinlive和moledao主办的线下活动上表示：熊市最大的挑战就是参与的用户变少了，当前各个项目是市值上看起来还可以，但是流动性却有所缺少，除此之外，在应用产品上缺乏一些具体的创新，而基础设施也还缺失一部分，导致说很多的想法和商业上的一些尝试是没有办法达到理想的效果，就是说没办法去配套一个更广阔的零售方式。所以机会就在这个地方。
因为行业不可能没有泡沫，但是不代表说这个行业本身该被推翻，泡沫的另一个角度，是底层基础设施的问题，一些比较资本的功能的制约着到市场的发展，市场需要一些新的技术带动市场发展。
针对FTX的事件，ZhongJie 认为，这个事件是一个很大的利空的事件，对于NFT而言，也是一个长期的影响，但是从未来构建的角度来看，FTX事件不会对行业造成太大影响，恢复这一块的投资信心，需要一个长期的过程。[2022/11/9 7:23:27]
以下为适用范围内的业务名称：
声音 | Longhash：Bakkt低成交量显示华尔街相对沉默:金色财经报道，Longhash发布文章称，Skew数据显示，Bakkt比特币期权在过去一周内几乎没有成交量。分析指出，Bakkt的期权和期货市场交易量相对较低，可能表明最近的比特币热潮主要是由散户或个人投资者推动的，而华尔街在比特币市场上则相对沉默。前eToro高管兼Quantum Economics创始人Mati Greenspan最近称，华尔街对比特币最近的飙升相当冷漠，但他们并没有完全保持沉默。CME现金结算的期货合约的交易量肯定有所增加。这样一来，目前主要的交易量似乎确实来自加密交易所。此外，文章表示，比特币最近的上涨似乎是由领先的保证金交易平台上的大量活动引起的。同时，像Bakkt一样以经过认可的投资者为目标的平台活跃度较低，这表明机构并未在很大程度上参与进来，加剧了当前的反弹不可持续的论点。[2020/2/4]
TargetType*.kucoin.comWebKucoinMobileApplicationforAndroidAndroidKucoinMobileApplicationforiOSiOS
分析 | Longhash：处理64424 笔比特币未确认交易数需超 4 小时:据 Blockchain.com 数据显示，2019 年4 月 24 日待确认比特币交易数达到了 64424 笔以上。Longhash分析指出，上一次比特币未确认交易数达到这一高位也是在今年 4 月。4 月 3 日到 6 日，比特币未确认交易数超过 50,000 笔，达到 75,900 笔的高点。假设每个比特币区块的平均交易数为 2,500 笔，平均出块时间为 10 分钟，那么在同一时间内新交易不会进一步造成网络拥堵的前提下，处理这 64424 笔交易所需时间就大约为 4 小时 20 分钟。[2019/4/26]
以下超出范围的业务名称：
TargetTypecert.kucoin.comWebzendeskWebSandBoxWebKucoinstoreWebApidocsWebintro.kucoin.comWebpassport.kucoin.comWebsandbox-*.kucoin.comWeb*-sdb.kucoin.comWeb*-sandbox.kucoin.comWeb
金融科技股LongFin收购区块链公司后股价暴涨2600%:近来加密货币领域高潮迭起，比特币单价超过19600美元，以太坊也达到了850美元的历史新高，这些都影响着传统投资者看待股票的方式。金融科技公司LongFin股票上周刚刚登陆交易所，就在其宣布收购了区块链公司Ziddu.com后，股票价值暴涨近2600%。现在似乎只要公司名称中包含“比特币”、“区块链”或“加密货币”等字样就会促使该公司股票快速升值。[2017/12/21]
评分规则
以下为我们可以接受的漏洞类别：
Web端
可能会造成用户资产损失的业务逻辑问题操纵支付远程代码执行(RCE)敏感信息泄漏Owasp的严重问题如：XSS、CSRF、SQL、SSRF、IDOR等其他有潜在损失的漏洞移动端
可以访问到外部不安全的链接的函数可以调用Jsbridge/javascritptinterface来攻击用户的问题。其他有潜在损失的漏洞以下为超出接收范围的安全问题，不在此次奖励之列
Web端
没有实际证明的理论漏洞邮箱验证码缺陷，过期的密码重置链接和密码复杂性策略无效或者缺失发件人信息的记录安全影响较小的点击劫持以及UI重定向第三方应用程序的漏洞少于30天的Oday漏洞社工、钓鱼、和其他物理行为拒绝服务攻击DOS邮件，手机号信息枚举(例如通过重置密码来验证邮箱或手机号)安全影响较小的信息泄漏(例如：堆栈跟踪，路径公开，目录列表，日志信息)内部已知问题，重复提交或者已经公开的安全问题物理攻击个人电脑的XSS只能在旧版本的浏览器或者平台上利用的漏洞自动填写web表单的漏洞使用已知易受攻击的代码库而缺少实际证明Cookie中缺乏安全标志和不安全的SSL/TLS套接字或者协议版本相关的问题内容缓存控制相关问题内部IP或者域名泄漏无法直接利用的安全标头缺失问题可忽略影响的CSRF问题(例如：添加收藏夹，添加购物车，订阅等一些非关键问题)无安全影响的问题不属于Kucoin的资产破坏我们业务正常运行的行为(DoS/DDoS)安装路径权限问题自动化工具或者扫描的报告无效或者过期页面的链接，只有当你能证明当前提交的链接还在正常使用我们才会接收，如果是通过过往公告或者博客中获取的存在问题的功能链接我们将拒绝接受。移动端
需要Root/JailBreak权限的漏洞需要对用户设备进行操作的物理漏洞需要大量用户交互的漏洞在设备上暴露非敏感信息报告中只对二进制文件进行静态分析但缺少影戏业务逻辑POC缺少模糊测试、二进制保护，Root(jailbreak)检测绕过设备的证书检测缺少Exp例如PIE、ARC或者堆栈利用受TLS保护的URLs或Request中的敏感信息泄漏二进制文件中的路径泄漏APK，IPA中存在的OAuth和APP密钥硬编码自动化工具的扫描报告敏感信息在设备中以明文形式保存造成的信息泄漏通过将格式不正确的URLSchemes或组件发送给外部Activity/Service/Broadcast等接收器而导致的崩溃(不过利用这些方案获取的敏感数据泄漏是在可被接受的漏洞范围内的)通过剪切板泄漏的共享链接没有安全影响的API密钥泄漏，例如GooleMapAPI密钥等在超出接收范围的Web漏洞中提到的其他内容
报告评估标准
P13000-5000USD：可能破坏任何用户或者业务运营商资金安全问题的漏洞，包括：
1.拥有直接访问系统或核心业务的权限
2.存在潜在的重大损害
P2900-2000USD：与P1具有类似影响的漏洞，但取决于漏洞利用的前置条件以及恶意利用后会造成的影响，包括：
1.未授权访问
2.严重的SQL注入
3.高风险的信息泄漏
P3300-500USD：对部分用户造成影响、访问和修改用户信息等
P450-150USD：1.短信轰炸2.非敏感信息泄漏
反馈渠道
您可以通过以下两个渠道向我们反馈:
通过安全表单提供相应的问题，点击查看通过登陆Hacken向我们提交安全报告，链接为:https://hackenproof.com/kucoin/kucoin活动声明
严禁以渗透测试为借口，利用漏洞以及威胁情报损坏用户利益，影响业务正常运作，盗取用户数据等行为。严禁通过使用发现的bug或漏洞对我们数据库进行修改或者数据销毁。严禁使用扫描工具进行自动化测试。严禁在您拥有的帐户以外的帐户上进行测试。以上最终解释权归KuCoin所有。关于我们
KuCoin于2017年9月成立，是一个全球加密货币交易所。作为一个注重包容性和社区行动范围的面向用户的平台，我们提供超过700种数字资产，目前为其在207个国家和地区的1800万用户提供现货交易、保证金交易、P2P法定交易、期货交易、股权和贷款。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。