负责任的披露。

我们的承诺

• 72 小时内确认收悉，自发送至上述披露地址起计算。
• 一位指定联系人，在调查期间代表基金会对接。
• 协同披露。我们会与报告者商定一个保密期；在此之前我们不会公开披露，也不会擅自提前公布。
• 公开署名，在报告时间线上注明，除非报告者希望匿名。
• 不追究法律责任，前提是善意研究者遵守本政策并在下述范围内行事。

范围之内

• zoobc.foundation 网站及其后端。
• 基金会的资助流程，以及申请人/审核人使用的界面。
• 本站身份验证与 Sippis 身份之间的交接环节 — 特别是任何可能导致跨账户访问或权限提升的漏洞。

影响 ZooBC 网络协议、节点软件或发布登记表的问题也应在此报告，我们会依据所涉及的范围，将其转交给相应的负责工程团队（可能是 Blockchain Zoo PTE. LTD. 或其他方），并适用同样的协同披露条款。

范围之外

• 针对公共接口的大流量拒绝服务攻击 — 请不要这样做。
• 针对基金会工作人员或资助接收方的社会工程攻击。
• 对任何基础设施的物理入侵。
• 仅仅链接到本站的第三方网站所存在的问题。

漏洞赏金

一个正式的、有偿的漏洞赏金项目已被规划为漏洞赏金与安全创世分配份额的一部分（见透明度）。具体条款、范围和发放时间表将在项目开放时发布在本页面。在此之前，通过上述披露渠道发现实质性问题的善意研究者将获得公开署名，并在项目启动时被考虑追溯认可。

审计状态

目前尚未委托任何外部审计。如实说明这一点是刻意为之 — 若暗示存在一项其实并不存在的审计，就违背了一个以透明为先的基金会的全部意义。一旦聘请审计机构，委托函、审计范围及调查结果摘要都将发布在此处，并附完整报告的链接。

在此之前，你自己能够进行的最有力验证方式，就是对照链上的发布登记表：每一个已发布的二进制文件，其哈希值都写入了共识。参见透明度与/verify。