バグバウンティプログラムの目的
バグバウンティプログラムは、セキュリティ研究者が脆弱性を責任ある形で報告するための正式な窓口を提供するものです。
適切に設計されたプログラムは、悪意のある第三者に悪用される前に、プラットフォームが潜在的なセキュリティ上の弱点を特定し、対応するのに役立ちます。
責任ある開示
セキュリティ研究者は、公式のセキュリティ報告窓口を通じて脆弱性を非公開で報告し、セキュリティチームが問題を再現・分析・評価できるだけの十分な情報を提供する必要があります。
脆弱性を公開する場合は、現在のプログラム規則および合意された開示スケジュールに従う必要があります。
報告に含めるべき情報
有効な脆弱性報告には通常、明確な問題の説明、影響を受けるコンポーネント、再現手順、セキュリティ上の影響、必要に応じた概念実証（Proof of Concept、PoC）、および問題を再現するために必要な条件などを含める必要があります。
研究者は、脆弱性の検証に不要なユーザーデータを収集、アクセス、または公開しないよう注意してください。
対象となる可能性のある脆弱性
公式プログラムの対象範囲によっては、認証、認可、機密データの漏えい、取引の完全性、APIセキュリティ、その他のセキュリティ上重要な機能に影響する脆弱性が対象となる場合があります。
正確な対象範囲については、4Mが現在公開している公式のバグバウンティポリシーに従う必要があります。
対象外となる問題
バグバウンティプログラムでは一般的に、サポート対象外のバージョン、ソーシャルエンジニアリング、ユーザーに影響を与える可能性のあるサービス拒否（DoS）テスト、または実質的なセキュリティ上の影響がない問題などが対象外となる場合があります。
ただし、研究者は一般的な業界慣行ではなく、4Mが公式に公開している具体的な除外条件に従ってください。
セキュリティ研究者の行動規範
セキュリティテストは管理された範囲内で実施し、システムを意図的に損傷したり、テストに無関係なユーザーデータへアクセスしたり、サービスを妨害したり、実際のユーザー資産を操作したりしてはいけません。
テストが本番環境のユーザーに影響を与える可能性がある場合は、直ちにテストを中止し、公式の脆弱性報告窓口を通じて案内を求めてください。
報奨金およびセーフハーバー
報奨金額、報奨対象の条件、セーフハーバー（Safe Harbor）条項、および開示スケジュールは、4Mによって正式に確認された場合にのみ公開されるべきです。
他の取引所やプラットフォームのバグバウンティプログラムを基準として、4Mの報奨金額、対象範囲、または関連する保証を推測してはいけません。
重要なお知らせ
本ページは、責任あるセキュリティ脆弱性報告の基本的な仕組みと原則について説明するものです。
4Mが公式のセキュリティ開示において明示的に公開していない限り、本ページは特定の4Mバグバウンティプログラム、報奨金体系、対象範囲、またはセーフハーバー方針が現在有効であることを示すものではありません。