AuditOneについて

AuditOneは、監査インフラのプロバイダーです。当社は、認証・検査機関向けのオペレーティングシステム「TIC OS」、審査済みのセキュリティおよびISO監査人のマーケットプレイス、ならびにスマートコントラクト監査やペネトレーションテストなどのセキュリティサービスを提供しています。

このプログラムでは、当社のスマートコントラクト、Webアプリケーション、およびそれらを支えるデジタルインフラストラクチャについて取り上げ、特にTIC OSに焦点を当てています。

対象資産

スマートコントラクト

ディスカウントプール: 0x28e59a982584987708D68754459e0375c9Caf77A(IOTA EVM)

Webアプリケーション

• TIC OS： https://cockpit.auditone.io/（API、クライアントポータル、監査人用ビューを含む）
• Auditorアプリ： https://auditor.auditone.io
• ウェブサイト： www.auditone.io

インフラ

auditone.io 傘下のドメインおよびサブドメイン、ならびにこれらのアプリケーションのために AuditOne が運用するクラウドインフラストラクチャ。

難易度と報酬

深刻度および報酬額は、実証された影響度に基づき、AuditOneによって決定されます。

重大（3,000ドル～10,000ドル）

本評価は、攻撃者が資産を盗み出すことを可能にする、評価対象のAuditOneスマートコントラクトにおける脆弱性に限定して適用されます。これは、ディスカウントプールに保有されているトークンや資金の直接的な窃取を意味します。Webアプリケーションやインフラストラクチャに関する発見事項は、いずれも「重大（Critical）」には該当しません。

高額（1,000ドル～3,000ドル）

• TIC OS における他の顧客のデータへのアクセス（テナント間データアクセス）。これには、AI 機能やプロンプトの挿入を通じたアクセスも含まれます。
• TIC OS または監査員マーケットプレイスにおけるアカウント乗っ取りまたは認証バイパス
• AuditOneサーバーにおけるリモートコード実行
• データの抽出や改ざんにつながるインジェクションの脆弱性（SQL、NoSQL、コマンド）
• 管理者または組織所有者のロールへの権限昇格
• 許可なく証明書または監査報告書を作成、改ざん、または取り消すこと
• スマートコントラクトの欠陥により、直接的な盗難を伴わずに資金が永久に凍結されたり、不正な発行が行われたりする

中価格帯（300ドル～1,000ドル）

• 保存型クロスサイトスクリプティング（XSS）
• 状態を変更するアクションにおけるクロスサイト・リクエスト・フォージェリー（CSRF）
• 単一テナント内で限定的なデータを露呈させる、安全でない直接オブジェクト参照
• テナント内での役割または権限のバイパス。例えば、監査担当者が自身の割り当て範囲外の記録にアクセスする場合など。
• 内部システムへのアクセス権がない場合のサーバーサイドリクエストフォージェリ（SSRF）
• 秘密情報、認証情報、または機密性の高い設定情報の漏洩
• 監査、認証、または支払いのワークフローにおけるビジネスロジックの欠陥
• スマートコントラクトの欠陥により、資金が一時的に凍結されたり、コントラクトレベルでのサービス拒否が発生したりする

低価格帯（300ドル以下）

• ユーザーによる相当な操作を必要とするリフレクテッドXSS
• オープンリダイレクト
• ログイン、パスワードのリセット、その他の機密性の高いエンドポイントにおいて、レート制限が欠落している
• ユーザーまたはアカウントの列挙
• 資産に影響を及ぼさないスマートコントラクトの問題（例：イベントの誤った発行やビュー関数のエラーなど）

対象外

• サードパーティプロバイダーが提供するインフラおよびサービス（クラウドホスティング、ウェブサイト構築ツール、メール、決済、分析サービスなど）は、AuditOneがそれらを利用している場合であっても
• 上記に記載されていないウェブサイトおよびアプリケーション（パートナーや顧客のものを含む）
• 価格オラクルとサードパーティのスマートコントラクト
• 機密性の高い操作が行われないページでのクリックジャッキング、セルフXSS、セキュリティヘッダーの欠落、または実証可能な影響がないメールレコード（SPF、DKIM、DMARC）
• この結果は、旧式またはサポート対象外のブラウザでのみ再現可能である
• 実証実験が機能していない自動スキャナーからのレポート
• すでに我々が把握している問題、あるいは他の研究者によって先に報告された問題

規則および要件

以下の行為は禁止されています：

• メインネットまたはパブリックテストネット上のコントラクトを用いたテストは一切行わないこと。スマートコントラクトのテストはすべてプライベートテストネット上で実施すること。
• 価格オラクルやサードパーティのスマートコントラクトを用いたあらゆるテスト
• 当社の従業員および／または顧客に対して、フィッシングやその他のソーシャルエンジニアリング攻撃を試みること
• 他のユーザーや顧客に属するデータへのアクセス、変更、削除。そのようなデータに遭遇した場合は、直ちに作業を中止し、報告してください。
• ご自身のテスト用アカウント以外のアカウントを使用すること。専用TIC OSテナント上のテスト用アカウントは、ご要望に応じてご利用いただけます。
• 実際の証明書または監査報告書の作成、変更、または取り消し
• TIC OS を使用している認証機関のサービスを低下させるような、サービス拒否攻撃、負荷テスト、または自動スキャン
• AuditOneのオフィスやデータセンターに対する物理的な攻撃
• 脆弱性が修正される前、かつ当社が情報開示に同意する前に、その脆弱性を公に開示すること

報告

AuditOneアプリを通じて、明確な説明、影響を受けた資産、再現手順、および概念実証を添えて、調査結果を提出してください。

脆弱性に関する報酬の対象となるのは、最初に報告された有効な報告のみです。個人の方の場合、報酬の支払いには本人確認（KYC）が必要です。

セーフハーバー

本規約の範囲内で誠実に実施された調査については、AuditOneによる法的措置の対象とはなりません。