GATE.IO 交易所安全漏洞报告途径
前言
Gate.io 高度重视交易所平台的安全性，将其视为我们运营的基石。 为了最大程度地确保用户数字资产的安全，以及交易过程的可靠性与稳定性，我们积极鼓励来自各方的安全研究人员以及我们所有用户，主动且及时地报告任何潜在的、可能存在的安全漏洞。 此举有助于我们构建更加安全、可靠的交易环境。
本详细文档旨在清晰明确地阐述向 Gate.io 安全团队报告安全漏洞的多种途径和标准化的流程。 我们还将详细说明 Gate.io 对漏洞报告者的期望，包括漏洞报告的规范性、完整性以及配合我们进行验证和修复的意愿。 我们同时也会阐述针对有效漏洞报告所提供的奖励机制，以感谢和激励安全社区的积极参与，共同维护平台的安全。
报告渠道
Gate.io 提供多种渠道以便接收并响应安全漏洞报告。我们致力于保护用户资产安全和平台稳定，因此鼓励安全研究人员和社区成员积极报告潜在的安全风险。使用以下渠道报告时，请务必提供详细信息，以便我们的安全团队能够快速验证和修复漏洞。
- 官方漏洞报告平台: 这是我们首选的报告渠道，确保报告的结构化和效率。该平台提供了一个专门设计的表单，旨在引导报告者清晰、完整地描述漏洞的各个方面，包括漏洞类型、影响范围、重现步骤和潜在的危害。同时，该平台允许上传必要的证据，例如截图、日志文件或PoC（概念验证）代码，以便我们的安全团队更好地理解和验证漏洞。访问 https://www.gate.io/security/report-vulnerability 提交报告，该平台完全支持中文报告，方便中国用户使用。
-
安全邮箱:
如果因技术限制或其他原因无法使用官方平台，或者需要进行更深入、复杂的沟通，请通过电子邮件联系我们的安全团队。安全团队的专用邮箱地址为
[email protected]。为了最大程度地保护报告内容的机密性，强烈建议使用 PGP (Pretty Good Privacy) 加密邮件内容。Gate.io 官方网站的安全中心提供了我们团队的公钥，方便您进行加密操作。请确保使用最新版本的公钥，以保证通信安全。 -
官方社交媒体渠道:
尽管我们不建议将社交媒体渠道作为主要的漏洞报告方式，但在紧急情况下，例如官方平台或邮箱无法访问时，可以通过官方 Twitter 账户
@gate_io私信联系我们。务必注意，出于对平台和用户安全的考虑，请绝对不要在公开的社交媒体渠道中披露任何漏洞的详细信息。仅通过私信进行初步沟通，后续我们将引导您通过更安全的渠道（例如官方漏洞报告平台或安全邮箱）提交完整的报告。
报告内容
为了帮助我们快速有效地评估和修复漏洞，请在提交的报告中尽可能包含以下关键信息，信息越完整，越有助于我们理解和处理您发现的问题：
- 漏洞概要: 用简洁明了的语言概括漏洞的核心内容，以及它可能带来的潜在危害。举例说明，如：“发现存在未授权访问漏洞，可能允许攻击者访问敏感的用户账户信息。” 明确指出漏洞的性质，例如权限提升、拒绝服务等。
- 详细描述: 提供漏洞的技术细节，务必详尽。包括受影响的软件或硬件组件名称、精确的版本号（例如：OpenSSL 1.0.1f），以及触发漏洞的具体条件。详细解释漏洞的工作原理，例如数据流如何被篡改，或者哪些安全机制被绕过。漏洞描述越深入，我们的分析和修复效率就越高。
- 重现步骤: 提供详尽且可操作的步骤，使我们能够准确地重现您发现的漏洞。从初始状态开始，逐步描述每个操作，直至漏洞被触发。使用清晰的指令，例如“使用以下命令发送特制的HTTP请求...”，“修改数据库中的特定字段...” 如果条件允许，请附上屏幕截图或录屏视频，以便更直观地展示漏洞的重现过程。 提供不同操作系统和浏览器环境下的重现步骤（如果适用）。
- 潜在影响: 清晰地阐述该漏洞可能造成的实际危害。例如，不仅仅是“数据泄露”，而是具体说明哪些类型的数据可能被泄露（例如：用户密码、信用卡信息、个人身份信息）。除了数据泄露，还可以考虑其他潜在影响，如服务中断（DoS攻击）、财务损失、声誉损害，甚至法律责任。量化潜在影响，例如“可能导致10万用户的账户被盗用”。
- 漏洞类型: 明确指出漏洞的通用类型，并尽可能使用行业标准术语。 准确分类漏洞类型，例如：SQL注入、跨站脚本攻击（XSS，包括存储型XSS、反射型XSS、DOM型XSS）、跨站请求伪造（CSRF）、远程代码执行（RCE）、身份验证绕过、目录遍历、命令注入、缓冲区溢出、整数溢出等。 说明漏洞属于哪一类安全弱点（例如：CWE编号）。
- 建议修复方案: 如果您有关于如何修复此漏洞的建议，请详细说明。您的建议可以包括代码修改、配置变更、安全策略调整等。提供具体的技术指导，例如使用参数化查询防止SQL注入，使用内容安全策略（CSP）防止XSS攻击。 如果无法提供完整的修复方案，也欢迎分享您的初步想法和思路。
- 你的联系方式: 提供有效的联系方式，以便我们能与您联系，进一步讨论漏洞细节，并及时反馈修复进展。我们推荐您提供常用的电子邮件地址，以及Telegram ID或Signal ID等即时通讯工具的账号。如果可以，请说明您希望使用哪种联系方式进行沟通。
- 声明: 请明确声明您以负责任的态度披露此漏洞，并且不会利用该漏洞进行任何未经授权的活动，包括但不限于数据窃取、系统破坏等。 您声明您没有违反任何法律法规，并且遵守我们的漏洞披露政策。 声明您发现并报告漏洞的目的是为了帮助我们提升系统安全性，而非出于恶意或商业利益。
安全报告指南
为了提升加密货币平台的安全性，我们鼓励安全研究人员和用户提交安全漏洞报告。以下是一些编写高质量安全报告的建议，遵循这些建议将有助于我们更快地处理您的报告并修复漏洞：
- 避免重复报告： 在提交报告之前，务必彻底搜索已知的漏洞报告数据库，以及我们平台的公开披露信息，以确认该漏洞尚未被报告。提交重复的报告会降低处理效率，并可能延迟其他重要漏洞的修复。
- 保持清晰简洁： 使用清晰、简洁、专业的语言来描述漏洞，避免使用过于晦涩难懂的技术术语或含糊不清的表达。请务必提供足够的背景信息，以便我们的安全团队能够快速理解漏洞的影响范围和潜在风险。
- 提供充分的证据： 提供充分的、可复现的证据来支持你的报告。这包括但不限于：详细的复现步骤、屏幕截图、视频演示、相关的日志文件、配置信息，以及任何有助于我们重现和验证漏洞的信息。 提供可执行的代码片段或PoC（Proof of Concept）脚本将大大提高处理效率。
- 保护用户隐私： 在报告中绝对禁止泄露任何用户隐私信息，例如用户的个人身份信息 (PII)、私钥、交易记录等。对于涉及用户数据的漏洞，请使用脱敏后的数据进行演示，或描述漏洞原理而不涉及具体用户数据。
- 负责任地披露： 在我们有足够的时间来验证、修复并部署修复程序之前，请不要公开披露漏洞细节。过早的公开披露可能会被恶意行为者利用，对平台和用户造成损害。我们鼓励负责任的披露，并将在漏洞修复后与您合作发布公开披露信息。
- 避免进行非法活动： 严禁利用发现的漏洞进行任何非法活动，例如：窃取用户资产、操纵市场、破坏系统安全、发起拒绝服务攻击等。任何利用漏洞进行非法活动的报告提交者将承担相应的法律责任。
- 使用安全的沟通方式： 为了确保报告内容的安全性和私密性，请使用安全的沟通方式与我们联系，例如：PGP加密的邮件或通过我们指定的安全报告平台。请务必使用强密码并启用双因素身份验证来保护您的通信账户。
漏洞奖励计划
Gate.io 设有漏洞奖励计划，旨在鼓励全球安全研究人员、白帽黑客及用户积极主动地报告平台存在的潜在安全漏洞。我们深知安全是加密货币交易所的基石，因此高度重视每一个漏洞报告。我们将根据漏洞的严重程度、影响范围、复现难度、以及报告质量的详细程度，给予相应的奖励，以此感谢社区对Gate.io安全生态的贡献。
奖励等级通常分为以下几类，等级的划分基于漏洞可能造成的实际损害和影响：
- Critical（严重）： 漏洞可能导致用户资产直接损失（例如未经授权的提币）、核心交易系统被完全控制（例如篡改交易数据）、或大规模用户信息泄露等危及平台生存的严重后果。此等级的漏洞通常涉及最敏感的系统和数据。
- High（高危）： 漏洞可能导致未经授权访问敏感数据（例如用户身份信息、交易历史）、绕过安全验证机制、或执行任意代码等可能导致重大损失的严重后果。 高危漏洞可能被恶意利用，直接威胁用户的账户安全。
- Medium（中危）： 漏洞可能导致服务中断（例如拒绝服务攻击）、数据篡改（例如修改交易价格）、或未经授权访问部分敏感信息等造成中等程度损害的后果。 此类漏洞可能影响平台的稳定性和可用性，但通常不涉及直接资产损失。
- Low（低危）： 漏洞可能导致轻微的信息泄露（例如内部版本号泄露）、用户体验下降（例如页面显示错误）、或影响较小的功能异常等轻微的后果。 低危漏洞通常不会直接威胁用户资产安全，但可能为进一步攻击提供线索。
奖励形式包括：
- 现金奖励： 根据漏洞等级，我们会提供极具竞争力的现金奖励。具体金额将根据漏洞的实际情况（例如漏洞的稀缺性、修复难度、以及报告的详尽程度）而定，严重等级的漏洞奖励可高达数万美元。
- Gate.io 点数： 我们可以提供 Gate.io 点数作为奖励，用于抵扣未来的交易手续费，为报告者提供实际的交易优惠。点数的具体数量将根据漏洞的等级和影响程度进行评估。
- 公开感谢： 对于高质量且极具价值的漏洞报告，我们会在官方网站、社交媒体平台（如Twitter、Telegram）或行业安全论坛上公开感谢报告者，以表彰其对平台安全的贡献。
- 优先体验新功能： 对于积极参与漏洞报告的用户，我们可能会提供优先体验Gate.io即将推出的新功能的资格，让其率先体验最新的产品和技术。
- Gate.io VIP等级提升： 优秀的报告者有机会直接提升Gate.io VIP等级，享受更高的交易手续费折扣、更高的提币限额以及其他专属权益。
具体奖励金额和形式将根据漏洞的实际情况（包括但不限于漏洞的类型、影响范围、修复难度、以及报告的完整性和质量）而定，最终解释权归Gate.io 所有。 Gate.io 保留根据实际情况调整漏洞奖励计划的权利，并及时在官方网站公布。我们鼓励安全研究人员详细阅读我们的漏洞奖励计划条款和条件，以便更好地理解我们的奖励政策和流程。
特别声明
Gate.io 对所有提交的漏洞报告保留最终的解释权，这包括对漏洞的有效性、严重程度以及奖励金额的最终裁定。漏洞奖励计划可能会根据具体的漏洞类型、影响范围以及修复难度等因素进行调整。Gate.io 将综合考虑各种因素，以确保奖励的公平性和合理性。
任何利用漏洞进行恶意攻击、非法牟利或进行其他非法活动的个人或团体，Gate.io 将采取一切必要的法律手段，追究其法律责任，包括但不限于民事赔偿和刑事责任。同时，Gate.io 将积极配合执法机关的调查取证工作，维护自身权益和用户的安全。
Gate.io 强烈呼吁所有安全研究人员和用户严格遵守相关法律法规，在发现安全漏洞后，应立即以负责任的态度向Gate.io 报告，并配合Gate.io 进行漏洞验证和修复工作。请勿公开披露未经 Gate.io 修复的漏洞信息，以免给Gate.io 和用户造成不必要的损失。负责任的漏洞披露有助于维护整个加密货币生态系统的安全和稳定。
感谢
我们衷心感谢您对Gate.io安全的高度关注和坚定支持！您的参与对构建一个更加安全和值得信赖的加密货币交易生态系统至关重要。我们深信，通过社区成员和Gate.io团队的共同努力，能够显著提升平台的安全系数，为用户提供一个更放心的交易环境。我们将不断优化安全措施，积极响应社区反馈，致力于创建一个行业领先的安全典范。您的支持是我们前进的动力！