バグバウンティ

Arcscan のウェブサイト、API、インデクサーに対する責任ある開示。

金銭的な報奨は提供していません

本プログラムは謝辞のみです。このデプロイの運営者は有償バウンティの原資を用意していません。支払いを期待して週末を費やしていただくくらいなら、先にそう申し上げます。有効な報告には、きちんとした返信と修正、そしてご希望であればクレジットをお返しします。

報告の方法

[email protected] までメールをお送りください。次の内容を添えていただけると助かります：

影響を受ける URL または API エンドポイントと、正確なリクエスト；
期待した動作と、実際に起きたこと；
最小限の概念実証 — それを示す最小のリクエスト；
データの正しさに関する不具合の場合：トランザクションハッシュ・ブロック高・アドレスと、誤っているとお考えの数値；
クレジットをご希望であれば、お名前またはハンドル。

公開の前に、運営者が修正するための合理的な期間をください — 90 日が通例であり、当方がお願いしている期間でもあります。誠実に見つけたものを報告し、概念実証が得られた時点で止めてください。それ以上深く踏み込まない、他者のデータにアクセスしたり持ち出したりしない、他の読者にとってのサービスを劣化させない。この線の内側にとどまるテストに対して、運営者が法的措置を取ることはありません。

対象範囲

5 件のカテゴリ

リモートコード実行、SQL インジェクション、SSRF: リクエストがインデックスのデータベース、Arc ノードの非公開インターフェース、あるいはホストに到達できてしまうものは、当方が受け取りうる最も重大な深刻度です。
蓄積型または反射型 XSS: 本サイトの文字列はコントラクトをデプロイした者が選びます — トークン名、シンボル、リバート理由、コンパイラのバージョン。出力時にサニタイズしており、そのサニタイザーの回避は対象範囲に含まれます。
読者を誤らせるデータの正しさの問題: 残高・金額・手数料・転送が誤って表示されること。小数 18 桁のネイティブ USDC と小数 6 桁の ERC-20 側の取り違え。アドレス・コントラクト・トランザクションが誤った主体に帰属されること。これらは誰かの金銭的損失につながりうるため、見た目の問題ではなくセキュリティの問題として扱います。
レート制限の回避とサービス妨害: 1 回のリクエストがバックエンドの処理を不釣り合いに消費すること、あるいは IP ごとの枠を回避する方法は、無料のサービスを全員にとって劣化させます。大量に実演するのではなく、報告してください。
キャッシュポイズニング: Arc は再編成できないため、コミット済みの高さをキーとしたレスポンスは恒久的にキャッシュされます。そのキャッシュに誤った答えを入れる方法は、構造上、重大でありかつ長く残ります。

対象範囲外

Arcscan にはアカウントも、セッションも、Cookie も、決済も、ユーザー投稿コンテンツもありません。したがって標準的なウェブアプリケーションのチェックリストの相当部分は攻撃対象そのものが存在せず、これらのカテゴリからの報告は修正なしでクローズします：

影響が実証されていない、セキュリティヘッダー・Cookie フラグ・TLS 設定の好みの欠如。本サイトに Cookie もセッションもありません。
SPF、DKIM、DMARC その他のメール設定の欠如。
状態を変える操作のないページに対するクリックジャッキング — ここでは全ページがそれに当たります。
認証不要の読み取り専用エンドポイントに対する CSRF。ログインがないため、偽装すべきものがありません。
レート制限を可用性の問題として報告すること：この制限は意図的であり、文書化されています。
動作する概念実証や影響の説明を伴わない自動スキャナーの出力。
フラッディングによって実演されたサービス妨害。増幅の仕組みを説明してください。実行はしないでください。
運営者に対するソーシャルエンジニアリング、またはインフラへの物理的攻撃。
Arc ネットワーク、そのノードソフトウェア、または本サイトがインデックスしている第三者コントラクトの脆弱性。それらは Arcscan ではなく、それぞれのメンテナに属します。
本サイトが単に表示しているだけのスマートコントラクト・トークン・アドレスの内容 — 詐欺を含みます。しかるべき窓口へご報告ください。Arcscan はチェーンをインデックスしますが、キュレーションはしません。
Self-XSS、または被害者が自分のコンソールにコードを貼り付ける必要があるもの全般。

このサイトの背後に実際にあるもの

探し始める前に知っておくと役立つ背景です。Arcscan は Next.js のフロントエンド、読み取り専用の FastAPI サービス、PostgreSQL のインデックス、そして Arc ノードで構成されています。本アプリケーションはノードをインターネットに公開しておらず、API には署名済みトランザクションのブロードキャスト — チェーンへ転送するだけで何も保存しません — 以外に書き込みエンドポイントはなく、インデックスはウェブリクエストではなくインデクサープロセスだけが書き込みます。

API のコントラクトは /apis で公開しており、実際のスキーマから生成しています。サービスのリアルタイムな健全性はネットワークステータスにあります。どちらもスキャナーより実りのある出発点です。