Programa de Recompensas
Preferimos pagar a um pesquisador para nos informar sobre uma falha do que descobri-la da maneira difícil. As recompensas são pagas em ZEC a partir de um fundo transparente que você pode verificar on-chain, e são ajustadas pelo impacto no mundo real — não pela forma como o problema soa no papel.
A fase 2 começa a 5 de outubro de 2026, o dia do lançamento público.
Esta página é o programa inteiro. O texto em inglês prevalece.
Bug Bounty: fase 2 (a partir de 5 de outubro de 2026)
O bounty continua depois do lançamento público. A partir de 5 de outubro de 2026 as recompensas são definidas em dólares americanos e pagas em ZEC à cotação de mercado do dia do pagamento, a partir do mesmo fundo público que qualquer pessoa pode verificar on-chain.
As recompensas são pagas até o fundo se esgotar. Quando acabar, o bounty termina; não há reforço. Se as vendas cobrirem os nossos custos iniciais, destinaremos uma parte fixa das vendas ao bounty e a uma auditoria independente.
O Z-Text ainda não teve uma auditoria de terceiros. Este bounty é o nosso convite aberto para o testar.
0 ZEC
Financiado e verificável on-chain.
t1bV6TkNwWBGBPtGhJCNEQZChpGVivHhHGEDe onde um ataque pode partir
O programa cobre apenas o aplicativo Z-Text; o nosso site, a sua API e os nossos servidores ficam de fora. Recompensamos ataques somente a partir de dois pontos de partida. A única exceção está indicada abaixo.
- Remoto. Você não tem acesso ao dispositivo, à conta do sistema, aos backups nem à frase-semente do alvo.
- Dispositivo em mãos. Você tem o dispositivo em mãos com o Z-Text bloqueado e usa apenas as telas do próprio Z-Text.
Você pode usar qualquer ferramenta para encontrar uma falha. O ataque em si deve funcionar a partir de um desses dois pontos de partida.
O que recompensamos
$1,500
Apenas a partir do ponto de partida remoto.
- Ler as mensagens de outra pessoa.
- Recuperar a seed ou as chaves privadas de outra pessoa.
- Apropriar-se dos fundos de outra pessoa, ou mover moedas para fora de uma carteira que nós controlamos.
- Executar o seu código no aplicativo de outra pessoa.
$750
- Dispositivo em mãos: abrir o Z-Text bloqueado sem o PIN, ou o Z-Text ainda mostrar a carteira ou as mensagens depois que o PIN de pânico foi digitado.
- Remoto: vincular o remetente e o destinatário de uma mensagem somente a partir de dados da blockchain.
- Produzir uma licença ou um recibo que o aplicativo não modificado aceite como assinado por nós.
- A única exceção aos pontos de partida: texto de mensagens, a seed ou chaves privadas que o próprio Z-Text grava em disco como dados em texto puro, sem criptografia. Dados mantidos no armazenamento de chaves do sistema operacional não contam.
$250
- Um resultado dos tipos acima com um efeito claramente menor, a partir dos mesmos pontos de partida.
Encontrou algo igualmente grave que não está listado? Envie. Recompensar ou não, e com quanto, é decisão nossa.
Os valores são em dólares americanos, pagos em ZEC ao preço de mercado no momento do envio, para um endereço ZEC blindado que você indicar.
Pagamentos até agora
Cada recompensa que pagámos, com a data, a gravidade, as condições aplicadas e a transação. Verifique qualquer uma on-chain.
O que não recompensamos
- O nosso site, a sua API e os nossos servidores: z-text.com e todos os seus subdomínios, o checkout, os pagamentos e os vouchers.
- Salvo essa única exceção, qualquer coisa que exija mais do que os dois pontos de partida: outro programa ou comando executado no dispositivo, um depurador, root ou jailbreak, um aplicativo modificado, um backup ou uma cópia do armazenamento do dispositivo, ou a frase-semente.
- Adivinhar um PIN ou uma senha.
- O que o sistema operacional guarda ou mostra: notificações, capturas de tela, prévias do aplicativo, a área de transferência, o nome do aplicativo nas listas do sistema.
- O que o PIN de pânico e “Apagar carteira” deixam intacto de propósito. Eles apagam tudo o que o Z-Text guarda da conta no dispositivo: a frase-semente, as chaves privadas, as mensagens, os contatos e as configurações; depois o aplicativo recomeça do zero com arquivos novos e vazios. Eles não mexem nos arquivos de backup que você mesmo salvou, como um arquivo .ztbk em um pendrive ou no armazenamento em nuvem, nem nas cópias que o sistema operacional faz fora do aplicativo: o histórico de notificações, os backups do sistema e os snapshots do armazenamento.
- O que um observador da rede ou o operador do nó ao qual você se conecta consegue ver.
- Contornar, por si só, verificações de adulteração, de root ou de captura de tela, ou desbloquear recursos pagos no seu próprio dispositivo sem produzir um recibo.
- O modo furtivo: é uma fachada, não uma tranca.
- Configurações e informações de instalação que não sejam conteúdo de mensagens.
- Ofertas gratuitas, promoções, vouchers, recompensas por indicação, tolerâncias e arredondamentos de pagamento, e qualquer coisa que só nos custe taxas ou disponibilidade.
- Descobertas sobre CAPTCHA, limites de taxa (rate limit) e bloqueios por tentativas (lockout).
- Comportamento descrito na nossa documentação, problemas que já conhecemos e falhas conhecidas em componentes de terceiros.
- Bugs de interface e de funcionamento (por favor, envie-os mesmo assim como relatórios de bug normais), negação de serviço, cabeçalhos de segurança ausentes, saída de scanners e engenharia social.
- Serviços que não desenvolvemos: processadores de pagamento, Cloudflare, as redes BitcoinZ e Zcash, e o lightwalletd padrão por trás de light.z-text.com.
Relatórios
- Um relatório assume o seu lugar quando está completo: o resultado que você obteve, passos que possamos repetir em um dispositivo comum, e prova. Qualquer coisa enviada antes disso não garante data.
- Ele deve funcionar na versão pública mais recente da nossa página de Downloads no dia em que você reportar. Uma correção que lançarmos depois por causa do seu relatório não o desqualifica.
- Se não conseguirmos reproduzi-lo, ele é encerrado. A falta de resposta da sua parte em até 14 dias encerra um relatório.
Como enviar
Envie seu relatório por e-mail para [email protected]. Um e-mail simples é suficiente; a criptografia PGP é opcional e fica inteiramente a seu critério — nunca a exigimos. Buscamos confirmar o recebimento em até 72 horas e coordenar a divulgação a partir daí.
Regras
- Teste apenas o aplicativo, nos seus próprios dispositivos e com as suas próprias carteiras. Não teste o nosso site, a sua API nem os nossos servidores. Não acesse, altere ou destrua dados que não sejam seus, não execute testes de negação de serviço nem aplique engenharia social a ninguém.
- Reporte primeiro de forma privada. Publicar antes de concordarmos encerra a elegibilidade.
- Membros da equipe e prestadores de serviço não são elegíveis.
- Não tomaremos medidas legais contra pesquisa de boa-fé que siga estas regras.
Como decidimos
- Nós decidimos se um relatório se qualifica, se é uma duplicata, a sua gravidade e a sua recompensa. Corresponder às palavras de um resultado listado não basta; avaliamos o que foi efetivamente alcançado.
- Uma recompensa por causa subjacente, conforme determinada por nós, abrangendo todas as plataformas, versões e variantes. Uma cadeia de passos é uma única descoberta. O primeiro relatório completo a recebe.
Pagamento e alterações
- As recompensas são pagas por ordem de aceitação, somente a partir deste fundo, em ZEC ao preço de mercado no momento do envio. Se o fundo não puder cobrir uma recompensa por inteiro, o autor do relatório recebe o que restar e o programa termina.
- Os horários são em UTC. Um relatório é considerado recebido quando chega completo a [email protected].
- Podemos alterar ou encerrar o programa. Um relatório é avaliado de acordo com o texto publicado no dia em que chegou completo.
Histórico das condições
- De 4 de junho a 4 de outubro de 2026: fase 1. De 0,1 a 3 ZEC por descoberta, de um fundo de 7 ZEC.
- A partir de 5 de outubro de 2026: fase 2, valores em USD. O ZEC subiu de cerca de 430 $ para cerca de 1500 $, pelo que os mesmos níveis em ZEC pagavam aproximadamente três vezes e meia o que pretendíamos. Os relatórios recebidos antes de 5 de outubro são pagos nas condições da fase 1.
- A partir de 10 de outubro de 2026: esta página indica na íntegra quais resultados são recompensados e a partir de quais pontos de partida. Os valores das recompensas permanecem inalterados; o nível Baixa, que dava apenas um agradecimento, foi descontinuado. Os relatórios recebidos antes são avaliados de acordo com o texto anterior.
- A partir de 14 de outubro de 2026: o programa cobre apenas o aplicativo Z-Text. O nosso site, a sua API e os nossos servidores ficam fora do escopo, e os dois resultados relativos ao servidor em Crítica e Alta foram removidos. Os valores das recompensas permanecem inalterados. Os relatórios recebidos antes são avaliados de acordo com o texto anterior.
- A partir de 16 de outubro de 2026: a página indica o que o PIN de pânico e “Apagar carteira” apagam e o que deixam intacto: os arquivos de backup que você mesmo salvou e as cópias que o sistema operacional faz fora do aplicativo. Os valores das recompensas permanecem inalterados. Os relatórios recebidos antes são avaliados de acordo com o texto anterior.
- Cada pagamento é listado com a data, a gravidade, as condições aplicadas e a transação.
Quer o panorama completo — modelo de ameaças, design da criptografia e o que abertamente não protegemos?
Leia Segurança e Transparência