Ein Programm für alle Werkzeuge im Stack
Wer eine Lücke findet, soll etwas davon haben — und der Rest soll sehen, was daraus geworden ist. Diese Seite erklärt das Programm in Kürze und zeigt darunter jede Meldung, die geprüft, bestätigt und freigegeben wurde.
Worum es geht
Das Omega Stack Bug Bounty Programm gilt produktübergreifend: für die Omega Wallet, für Omega Connect, für OMDP-39, für Omega Seed und die Hardware Wallet — und für die Websites, die dazugehören. Ein Programm, dieselben Stufen, dieselben Regeln, egal wo der Fund gemacht wurde.
Gemeldet werden können Sicherheitslücken, technische Fehler und Verbesserungsvorschläge. Eine Lücke muss reproduzierbar sein; ein Fehler zählt auch dann, wenn er nur unschön ist und nichts gefährdet. Für Vorschläge gibt es eine eigene Stufe, damit niemand eine gute Idee als Sicherheitsproblem verkleiden muss.
Was gezahlt wird
Die Stufen richten sich danach, was ein Fund praktisch bedeutet — nicht danach, wie aufwendig er zu finden war. Ausgezahlt wird in USDC (ERC-20) an eine angegebene Adresse.
Die Einstufung nimmt das Entwicklungsteam vor. Eine Vergütung bleibt freiwillig — es gibt keinen Anspruch darauf, und es gibt auch keine zugesagte Prüfungsfrist. Was das im Einzelnen heisst, steht in den Teilnahmebedingungen.
Wie gemeldet wird
Über das Formular des betroffenen Produkts — für die Omega Wallet auf wallet.omegastack.io, für Omega Connect auf omegaconnect.app. Passt keines davon, geht es per E-Mail an info@cundw.io; die maschinenlesbaren Kontaktangaben stehen in security.txt.
Jede Meldung bekommt eine Kennung — OSW für die Omega Wallet, OCN für Omega Connect, dazu eine Nummer, die über alle Produkte hinweg fortlaufend ist. Sie steht in der Bestätigungsmail und, wenn die Meldung freigegeben wird, unten in der Liste.
Wir bitten um eines: Gib uns Gelegenheit, die Lücke zu schliessen, bevor du sie öffentlich machst. Im Gegenzug halten wir dich nicht hin und sagen ehrlich, wenn wir etwas nicht beheben können oder wollen.
Was hier öffentlich wird
Eine Meldung erscheint in der Liste unten erst, wenn sie geprüft, bestätigt und ausdrücklich freigegeben wurde. Der Bearbeitungsstand allein reicht dafür nicht — die Freigabe ist ein eigener, bewusster Schritt.
Sichtbar werden Kennung, Produkt, Schweregrad, Plattform, Titel, Beschreibung, Bearbeitungsstand, eine etwaige Vergütung und das Eingangsdatum. Nie sichtbar werden Name, E-Mail-Adresse, Wallet-Adresse oder IP-Adresse der meldenden Person. Wer im Titel oder in der Beschreibung selbst etwas über sich verrät, entscheidet das selbst — deshalb wird beides vor der Freigabe gelesen.
Bearbeitete Meldungen
Alle Produkte, freigegebene Funde. Ein Klick auf eine Zeile zeigt die Beschreibung.
