关于AuditOne

AuditOne 是一家审计基础设施提供商。我们运营 TIC OS——一款面向认证和检验机构的操作系统，同时运营一个由经过严格审核的安全和 ISO 审计员组成的平台，并提供智能合约审计和渗透测试等安全服务。

本课程涵盖我们的智能合约、Web 应用程序及其背后的数字基础设施，尤其侧重于 TIC OS。

涵盖的资产

智能合约

折扣池： 0x28e59a982584987708D68754459e0375c9Caf77A（IOTA EVM）

Web应用程序

• TIC OS： https://cockpit.auditone.io/（包括其API、客户门户和审计员视图）
• Auditor 应用： https://auditor.auditone.io
• 网站： www.auditone.io

基础设施

auditone.io 下的域名和子域名，以及 AuditOne 为这些应用程序运营的云基础设施。

严重程度与奖励

严重程度和奖励金额由AuditOne根据实际影响确定。

严重（3,000至10,000美元）

该级别专用于描述范围内的AuditOne智能合约中存在的、允许攻击者窃取资产的漏洞，即直接窃取代币或存放在折扣池中的资金。任何Web应用程序或基础设施的发现均不属于“严重”级别。

高（1,000 至 3,000 美元）

• 在 TIC OS 中访问其他客户的数据（跨租户数据访问），包括通过 AI 功能或提示词注入的方式
• TIC OS 或审计员市场中的账户接管或身份验证绕过
• AuditOne 服务器上的远程代码执行
• 导致数据被提取或篡改的注入漏洞（SQL、NoSQL、命令注入）
• 将权限提升至管理员或组织所有者角色
• 未经授权伪造、篡改或撤销证书或审计报告
• 智能合约中的漏洞会导致资金永久冻结或未经授权的代币铸造，但并不涉及直接盗窃

中等（300至1,000美元）

• 存储型跨站脚本攻击（XSS）
• 状态变更操作中的跨站请求伪造（CSRF）
• 不安全的直接对象引用，导致单个租户内的部分数据泄露
• 租户内部的角色或权限绕过，例如审计员访问其职责范围之外的记录
• 无需访问内部系统即可实施的服务器端请求伪造（SSRF）
• 机密信息、凭据或敏感配置的泄露
• 审计、认证或支付工作流中的业务逻辑缺陷
• 智能合约中的缺陷会导致资金暂时被冻结或引发合约层面的拒绝服务攻击

低（最高300美元）

• 需要用户大量交互的反射型XSS
• 开放重定向
• 登录、密码重置或其他敏感端点缺少速率限制
• 用户或帐户枚举
• 不影响资产的智能合约问题，例如事件发布错误或查看函数错误

超出范围

• 第三方提供商的基础设施和服务（云托管、网站建设工具、电子邮件、支付和分析服务提供商），即使AuditOne使用这些服务
• 上述未列出的网站和应用程序，包括合作伙伴或客户的网站和应用程序
• 定价预言机和第三方智能合约
• 在没有敏感操作的页面上发生点击劫持、自发XSS、缺少安全标头或电子邮件记录（SPF、DKIM、DMARC），且未造成可证实的危害
• 该结果仅可在过时或不受支持的浏览器中重现
• 来自未通过概念验证的自动化扫描仪的报告
• 我们已知的问题，或由其他研究人员最先报告的问题

规则与要求

禁止进行以下活动：

• 任何涉及主网或公开测试网合约的测试；所有智能合约测试均应在私有测试网上进行
• 任何涉及定价预言机或第三方智能合约的测试
• 禁止对我方员工及 / 或用户实施钓鱼攻击或其他社会工程学攻击
• 访问、修改或删除属于其他用户或客户的数据；若遇到此类数据，请立即停止并上报
• 请勿使用除您自己的测试账户以外的任何账户；如需在专用TIC OS租户上使用测试账户，请提出申请
• 创建、修改或撤销真实的证书或审计报告
• 针对使用 TIC OS 的认证机构的拒绝服务攻击、负载测试或自动扫描，导致其服务质量下降
• 针对AuditOne办公室或数据中心的物理攻击
• 在漏洞尚未修复且我们尚未同意披露之前，公开披露该漏洞

报告

请通过 AuditOne 应用提交发现的问题，并附上清晰的描述、受影响的资产、重现步骤以及概念验证。

只有首个有效的漏洞报告才有资格获得奖励。个人在领取奖励前需完成KYC认证。

安全港

只要是本着善意并遵守这些规则进行的研究，AuditOne 不会就此采取法律行动。