漏洞赏金

我们不奖励什么

• 我们的网站、其 API 以及我们的服务器：z-text.com 及其所有子域名、结账流程、支付以及兑换券。
• 除该唯一例外之外，任何所需条件超出这两种起点的情形：在设备上运行的其他程序或命令、调试器、root 或越狱、经过修改的应用、设备存储的备份或副本，或助记词。
• 猜测 PIN 或密码。
• 操作系统保留或显示的内容：通知、截图、应用预览、剪贴板、系统列表中的应用名称。
• 紧急 PIN 和“清除钱包”有意保留的内容。它们会清除 Z-Text 在设备上为该账户保存的一切：助记词、私钥、消息、联系人和设置；之后应用会以全新的空文件重新开始。它们不会触及您自己保存的备份文件（例如 U 盘或云存储中的 .ztbk 文件），也不会触及操作系统在应用之外制作的副本：通知历史、系统备份和存储快照。
• 网络观察者或您所连接节点的运营者能够看到的内容。
• 仅仅绕过防篡改、root 或截图检测本身，或在未制作出收据的情况下在您自己的设备上解锁付费功能。
• 隐身模式：它是一种掩护，而不是一把锁。
• 不属于消息内容的设置和安装信息。
• 免费优惠、促销活动、兑换券、推荐奖励、支付容差与舍入，以及任何只让我们损失手续费或可用性的情形。
• 关于 CAPTCHA、速率限制和锁定机制的发现。
• 我们的文档中已说明的行为、我们已经知晓的问题，以及第三方组件中的已知缺陷。
• 界面和功能性错误（仍请作为普通错误报告发给我们）、拒绝服务、缺失安全响应头、扫描器输出以及社会工程。
• 并非由我们开发的服务：支付处理商、Cloudflare、BitcoinZ 和 Zcash 网络，以及 light.z-text.com 背后的标准 lightwalletd。

报告

• 报告在完整之时才占据其位次，完整即包括：您取得的结果、我们可以在普通设备上重复的步骤，以及证明。此前的任何内容都不确立日期。
• 它必须在您报告当天我们“下载”页面上的最新公开版本上有效。我们之后因您的报告而发布的修复不会使其丧失资格。
• 如果我们无法复现，报告即被关闭。如果您在 14 天内没有答复，报告即被关闭。

如何提交

请通过电子邮件将您的报告发送至 [email protected]。普通邮件即可；PGP 加密为可选项，完全由您决定——我们从不强制要求。我们力求在 72 小时内予以确认，并据此协调后续的披露事宜。

规则

• 仅测试应用本身，并且只在您自己的设备上、使用您自己的钱包进行。请勿测试我们的网站、其 API 或我们的服务器。请勿访问、修改或销毁不属于您的数据，请勿进行拒绝服务测试，亦不得对任何人实施社会工程。
• 请先私下报告。在我们同意之前公开，资格即告终止。
• 团队成员和承包商不符合资格。
• 对于遵守上述规则的善意研究，我们不会追究法律责任。

我们如何决定

• 报告是否符合条件、是否重复、其严重程度及其奖励，均由我们决定。仅在字面上符合某项已列出的结果并不足够；我们评估的是实际达成了什么。
• 每一个由我们认定的根本原因只发放一份奖励，涵盖所有平台、版本和变体。一连串步骤算作一个发现。奖励归首份完整的报告。

支付与变更

• 奖励按报告被接受的先后顺序支付，仅从本资金池中支出，按发送时的市场价格以 ZEC 支付。如果资金池不足以全额支付某项奖励，报告者将获得剩余的部分，本计划随即结束。
• 时间均为 UTC。报告以完整状态送达 [email protected] 时，即为已收到。
• 我们可以更改或终止本计划。报告按其完整送达当天所公布的文本进行评估。

条款历史

• 2026 年 6 月 4 日至 10 月 4 日：第一阶段。每个发现 0.1 至 3 ZEC,资金池为 7 ZEC。
• 自 2026 年 10 月 5 日起：第二阶段，金额以美元计。ZEC 从约 430 美元涨到约 1,500 美元，因此同样的 ZEC 档位支付的金额大约是我们原本打算的三倍半。10 月 5 日之前收到的报告按第一阶段条款支付。
• 自 2026 年 10 月 10 日起：本页面完整列明哪些结果可获奖励，以及从哪些起点出发。奖励金额不变；仅致谢的低危档位已取消。此前收到的报告按此前的文本评估。
• 自 2026 年 10 月 14 日起：本计划仅涵盖 Z-Text 应用。我们的网站、其 API 以及我们的服务器不在范围之内，严重和高危档位下与服务器相关的两项结果已删除。奖励金额不变。此前收到的报告按此前的文本评估。
• 自 2026 年 10 月 16 日起：本页写明紧急 PIN 和“清除钱包”会清除什么、保留什么：您自己保存的备份文件，以及操作系统在应用之外制作的副本。奖励金额不变。此前收到的报告按此前的文本评估。
• 每笔支付都列出日期、严重程度、适用条款及其交易。