버그 바운티 프로그램의 목적
버그 바운티 프로그램은 보안 연구자가 취약점을 책임감 있게 보고할 수 있도록 공식적이고 체계적인 신고 채널을 제공하는 제도입니다.
잘 설계된 프로그램은 악의적인 공격자가 취약점을 악용하기 전에 플랫폼이 보안상의 약점을 발견하고 대응하는 데 도움이 될 수 있습니다.
책임 있는 공개
보안 연구자는 공식 보안 신고 채널을 통해 취약점을 비공개로 보고하고, 보안팀이 해당 문제를 재현하고 분석하며 평가할 수 있도록 충분한 정보를 제공해야 합니다.
취약점의 공개는 현재 적용되는 프로그램 규정과 합의된 공개 일정에 따라 진행되어야 합니다.
보고서에 포함해야 할 내용
유효한 취약점 보고서에는 일반적으로 명확한 문제 설명, 영향을 받는 구성 요소, 재현 절차, 보안상 영향, 필요한 경우 개념 증명(Proof of Concept, PoC) 자료 및 문제 재현에 필요한 조건 등이 포함되어야 합니다.
보안 연구자는 취약점 검증에 필요하지 않은 사용자 데이터를 수집하거나 접근하거나 공개하지 않도록 주의해야 합니다.
보상 대상이 될 수 있는 취약점
공식 프로그램의 적용 범위에 따라 인증, 권한 관리, 민감한 데이터 노출, 거래 무결성, API 보안 또는 기타 보안상 중요한 기능에 영향을 미치는 취약점이 보상 대상에 포함될 수 있습니다.
정확한 적용 범위는 4M이 현재 공식적으로 공개한 버그 바운티 정책을 기준으로 해야 합니다.
적용 대상에서 제외되는 문제
버그 바운티 프로그램에서는 일반적으로 지원이 종료된 버전, 사회공학 공격, 사용자 서비스에 영향을 줄 수 있는 서비스 거부(DoS) 테스트 또는 실질적인 보안 영향이 없는 문제 등이 제외될 수 있습니다.
다만 보안 연구자는 일반적인 업계 관행에 의존하지 말고, 4M이 공식적으로 공개한 구체적인 제외 항목을 따라야 합니다.
보안 연구자 행동 지침
보안 테스트는 통제된 범위 내에서 수행되어야 하며, 시스템을 고의로 손상시키거나 테스트와 관련 없는 사용자 데이터에 접근하거나 서비스를 방해하거나 실제 사용자 자산을 조작해서는 안 됩니다.
테스트가 운영 환경의 실제 사용자에게 영향을 줄 가능성이 있는 경우, 연구자는 즉시 테스트를 중단하고 공식 취약점 신고 채널을 통해 추가 안내를 받아야 합니다.
보상 및 세이프 하버
보상 금액, 보상 대상 조건, 세이프 하버(Safe Harbor) 조항 및 취약점 공개 일정은 4M이 공식적으로 확인한 경우에만 공개되어야 합니다.
다른 거래소나 플랫폼의 버그 바운티 프로그램을 기준으로 4M의 보상 기준, 적용 범위 또는 관련 보호 조항을 추정해서는 안 됩니다.
중요 안내
본 페이지는 책임 있는 보안 취약점 신고 체계의 기본 구조와 원칙을 설명하기 위한 것입니다.
4M이 공식 보안 공지를 통해 명시적으로 발표하지 않는 한, 본 페이지는 특정 4M 버그 바운티 프로그램, 보상 기준, 적용 범위 또는 세이프 하버 정책이 현재 운영 중임을 의미하거나 주장하지 않습니다.