Acerca de AuditOne
AuditOne es un proveedor de infraestructura de auditoría. Gestionamos TIC OS, el sistema operativo para organismos de certificación e inspección; un mercado de auditores de seguridad y de la norma ISO previamente evaluados; y servicios de seguridad, como auditorías de contratos inteligentes y pruebas de penetración.
Este programa abarca nuestros contratos inteligentes, nuestras aplicaciones web y la infraestructura digital que hay detrás de ellas, con especial atención a TIC OS.
Activos incluidos en el ámbito de aplicación
Contratos inteligentes
Fondo de descuentos: 0x28e59a982584987708D68754459e0375c9Caf77A (IOTA EVM)
Aplicaciones web
Infraestructura
Los dominios y subdominios de auditone.io, así como la infraestructura en la nube gestionada por AuditOne para estas aplicaciones.
Gravedad y recompensas
AuditOne determina la gravedad y el importe de la recompensa en función del impacto demostrado.
Crítico (de 3.000 a 10.000 dólares)
Se reserva exclusivamente para las vulnerabilidades en los contratos inteligentes de AuditOne incluidos en el alcance del análisis que permiten a un atacante sustraer activos, es decir, el robo directo de tokens o fondos depositados en el «Discount Pool». Ningún hallazgo relacionado con aplicaciones web o infraestructura se considera «crítico».
Alto (de 1.000 a 3.000 dólares)
- Acceso a los datos de otro cliente en TIC OS (acceso a datos entre inquilinos), incluso a través de funciones de IA o la inyección de prompts
- Apropiación de cuentas o elusión de la autenticación en TIC OS o en el mercado de auditores
- Ejecución remota de código en los servidores de AuditOne
- Vulnerabilidades por inyección (SQL, NoSQL, comandos) que dan lugar a la extracción o modificación de datos
- Ampliación de privilegios a los roles de administrador o propietario de la organización
- Falsificar, modificar o revocar certificados o informes de auditoría sin autorización
- Fallos en los contratos inteligentes que provocan la inmovilización permanente de fondos o la emisión no autorizada de tokens sin que se produzca un robo directo
Medio (de 300 a 1.000 dólares)
- Cross-Site Scripting (XSS) almacenado
- Falsificación de solicitudes entre sitios (CSRF) en acciones que modifican el estado
- Referencias inseguras a objetos directos que exponen datos limitados dentro de un único inquilino
- Elusión de un rol o permiso dentro de un inquilino; por ejemplo, un auditor que accede a registros ajenos a su ámbito de competencia
- Falsificación de solicitudes del lado del servidor (SSRF) sin acceso a los sistemas internos
- Divulgación de secretos, credenciales o configuraciones confidenciales
- Deficiencias en la lógica de negocio de los flujos de trabajo de auditoría, certificación o pago
- Fallos en los contratos inteligentes que provocan la congelación temporal de fondos o un ataque de denegación de servicio a nivel del contrato
Bajo (hasta 300 dólares)
- XSS reflejado que requiere una interacción significativa por parte del usuario
- Redireccionamientos abiertos
- Falta la limitación de velocidad en el inicio de sesión, el restablecimiento de la contraseña u otros puntos finales sensibles
- Enumeración de usuarios o cuentas
- Problemas relacionados con los contratos inteligentes que no afectan a los activos, como, por ejemplo, la emisión incorrecta de eventos o errores en las funciones de consulta.
Fuera del ámbito de aplicación
- Infraestructuras y servicios de terceros (alojamiento en la nube, creadores de páginas web, correo electrónico, proveedores de pagos y de análisis), incluso cuando AuditOne los utilice
- Sitios web y aplicaciones que no figuran en la lista anterior, incluidos los de socios o clientes
- Oráculos de precios y contratos inteligentes de terceros
- Clickjacking en páginas sin acciones sensibles, XSS autónomo, ausencia de encabezados de seguridad o registros de correo electrónico (SPF, DKIM, DMARC) sin que se haya demostrado que ello tenga repercusiones
- Resultados reproducibles únicamente en navegadores obsoletos o sin soporte técnico
- Informes generados por escáneres automáticos sin una prueba de concepto funcional
- Problemas que ya conocemos o que ha comunicado primero otro investigador
Normas y requisitos
Quedan prohibidas las siguientes actividades:
- Cualquier prueba con contratos de la red principal o de una red de pruebas pública; todas las pruebas de contratos inteligentes deben realizarse en redes de pruebas privadas.
- Cualquier prueba con oráculos de precios o contratos inteligentes de terceros
- Intentar llevar a cabo ataques de phishing u otros ataques de ingeniería social contra nuestros empleados y/o clientes
- Acceder, modificar o eliminar datos que pertenezcan a otros usuarios o clientes; si te encuentras con datos de este tipo, detente inmediatamente y comunícalo.
- No utilices ninguna cuenta que no sean tus propias cuentas de prueba; las cuentas de prueba en un inquilino dedicado de TIC OS están disponibles previa solicitud.
- Crear, modificar o revocar certificados auténticos o informes de auditoría
- Ataques de denegación de servicio, pruebas de carga o análisis automatizados que deterioren el servicio de los organismos de certificación que utilizan TIC OS
- Ataques físicos contra las oficinas o los centros de datos de AuditOne
- Divulgar públicamente una vulnerabilidad antes de que se haya solucionado y de que hayamos dado nuestro consentimiento para su divulgación
Informes
Envía los resultados a través de la aplicación AuditOne, incluyendo una descripción clara, el activo afectado, los pasos para reproducir el problema y una prueba de concepto.
Solo el primer informe válido sobre una vulnerabilidad dará derecho a una recompensa. Las personas físicas deberán completar el proceso de KYC antes de recibir el pago.
Cláusula de exención de responsabilidad
Las investigaciones realizadas de buena fe y dentro de lo establecido en estas normas no darán lugar a acciones legales por parte de AuditOne.
.svg)
%201.svg)
.svg){kind=small}
.svg)
