포상금 프로그램은 커뮤니티의 힘을 통해 퀀텀 메인넷과 애플리케이션들을 발전시켜 더 안전하고 효율적인 서비스를 통해 유저들의 니즈를 만족시키고자 합니다.

버그 등급 및 보상 시스템

1. 기존과 유사한 이슈 또는 퀀텀 재단에서 문제를 인지하고 개선을 하고 있는 이슈는 포상금 프로그램에 포함되지 않습니다.

2. 이슈를 해결하기 전에 공개를 하여 피해를 발생시켰을 경우, 포상금 프로그램에 참여할 수 없습니다.

3. 개선 작업을 할 때는 자신의 저장소에 포크 해서 수정하고 pull request를 제출해주시면 퀀텀 재단에서 리뷰한 후에 메인 브랜치와 합치도록 하겠습니다.

4. 퀀텀 팀 멤버는 퀀텀 재단과 고용 관계를 맺고 있으므로 퀀텀 팀 멤버가 직접 또는 간접적으로 버그를 수정한 것에 대해서는 포상금을 지급하지 않습니다.

5. 포상금 프로그램은 퀀텀 코어 제품의 기술적 이슈를 해결하기 위한 것으로 퀀텀 홈페이지, 포럼, 조직 구조 등에 대한 개선은 포상금 프로그램에 포함되지 않습니다.

6. 포상금은 작업량, 이슈의 영향 범위, 피해 정도 등에 따라 액수가 결정됩니다. 퀀텀 보안팀이 이에 대한 최종 판단을 내릴 예정이고 포상금 프로그램에 대한 최종 해석 권한도 퀀텀 보안팀에게 있음을 알려 드립니다.

범위

해당 범위는 퀀텀 재단의 주력 분야로 범위 내에 포함되지 않은 분야에서 버그를 발견할 경우에도 퀀텀 재단에 고지를 해주시고 포상금 신청을 하시면 내부적으로 판단을 해서 포상금 지급 여부와 금액을 책정해서 회신드릴 예정입니다.

퀀텀 재단에서 발표한 제품에서 아래와 같이 악용 가능성이 있는 버그를 찾아주시길 바랍니다.

• 유저 자산에 손해를 끼치거나 이를 도용한 경우. 예를 들어 유저의 승인 없이 자산을 거래할 수 있는 버그.
• 서비스 거부. 예를 들어 퀀텀 메인넷 리소스 과다 사용 또는 큰 오류를 일으킬 수 있는 버그.
• 합의 메커니즘의 실패. 예를 들어 공격자에 의해 네트워크 분리가 일어날 수 있는 버그.
• 컨트롤이 불가한 인플레이션. 예를 들어 공격자가 스테이킹 중 더 많은 퀀텀 코인을 만들어 낼 수 있게 하는 버그.
• 무승인 액세스. 탈중앙 거버넌스를 컨트롤할 수 있게 하는 버그.

버그의 등급과 분류

버그의 등급과 분류는 OWASP 모델을 참고하여 심각한 리스크, 높은 리스크, 중간 리스크, 낮은 리스크, 개선사항으로 나눕니다. 자세한 방법론은 링크를 참고해주시길 바랍니다. OWASP 리스크 평가 모델

*버그 등급 평가는 퀀텀 재단에서 확정을 지으며 이에 대한 최종 해석 권한도 퀀텀 재단에 있음을 알려 드립니다.

버그 등급별 보상 기준

주의사항: 기준 단위는 미국 달러(USD)입니다.

1. 비트코인, 이더리움 등 기타 네트워크에서 기보고 된 버그는 보상금이 낮아집니다.
2. 위에 적힌 상금은 해당 등급의 최고 상금입니다. 최종 상금액은 퀀텀 재단에서 결정할 예정입니다. 상금에 대해서는 아래와 같은 평가 기준들이 있습니다. 버그 보고만 할 경우, 자료 제출 부분만 확인하시면 됩니다.

자료 제출 (15%):

버그 관련 자료를 제출합니다. 자세한 부분은 제출 서식을 참고하여 영문으로 제출해주시길 바랍니다.

코드 수정 (40%):

코드 수정을 하고 새로운 이슈가 발생하는지 확인해주세요. 새로운 이슈가 발생한다면 이에 대한 해법도 같이 제출해주세요.

자동화 테스트 스크립트 또는 수동 테스트 방법 제출 (15%):

자동화 테스트 스크립트는 업데이트와 병합에 있어 매우 중요함으로 이에 대한 과점 기준을 아래와 같이 정했습니다.

수정 시간과 효율성 (15%)

수정 시간은 이슈 보고 후 코드가 수정 및 검토되어 코드 베이스에 병합되기까지에 시간을 의미합니다. 이슈 보고를 받은 후 퀀텀 재단은 회신을 통해 버그 수정에 대한 기대 시간을 보내고 보고자와 시간에 대해 협상을 하게 됩니다.

수정에 대한 구상과 방법에 대한 문서 제출 (15%) ：

수정한 버그에 대해 정리된 기술 문서를 제출해주시길 바랍니다.

버그 보고 및 수정 프로세스

보고 단계

버그 보고 페이지에서 버그에 대한 보고서 제출

(상태: 심사 대기)

처리 단계

1. 퀀텀 보안팀은 근무일 기준 1일 내로 버그 보고서에 대해 확인 및 평가를 하고 보고자에게 회신을 합니다. (상태: 심사 중).

2. 퀀텀 기술팀은 근무일 기준 3일 내로 버그에 대한 정의와 결론, 그리고 기대 수정 시간을 정합니다. (상태: 승인 / 승인 거부). 필요할 경우, 퀀텀 재단은 보고자에게 연락을 취해 함께 평가를 하고 평가 결과를 보고자에게 알립니다.

코드 수정 단계

1. 보고자는 버그에 대한 수정을 시작합니다. (상태: 수정 중).
2. 수정이 완료되면 보고자는 상태를 (상태: 검토 대기)로 수정할 수 있습니다. 수정 시간은 버그의 심각성에 따라 결정됩니다. 보통의 경우, 심각한 리스크와 높은 리스크는 24시간, 중간 리스크는 7일, 낮은 리스크는 15일 내로 수정할 것을 기대합니다. 클라이언트 보안 이슈의 경우, 버전과 실제 상황에 따라 수정 시간을 정하게 됩니다.
3. 보고자가 수정 완료를 알리면 퀀텀 보안팀은 수정 결과에 대해 검토를 하고 보고자에게 결과를 알립니다. (상태: 검토 완료/검토 거부).

자료 제출 단계

요구에 따라 테스트 스크립트, 수동 테스트 설명서, 코드 수정 구상 등 문서 제출을 진행합니다.

보상 지급 단계

퀀텀 보안팀은 보고자가 제출한 문서의 완전성과 코드 수정 성과에 따라 보상을 지급합니다. (상태: 종결)