安全与合规
我们遵循负责任披露，并在主网毕业时准备审计包。
每个网关子域按 RFC 9116 发布机器可读策略：
/.well-known/security.txt。
报告漏洞
请通过以下 任一 渠道私下报告：
- 邮箱：
security@superaichain.ai - GitHub Security Advisories（优先）：在源码仓开私有 advisory。
不要对未修复漏洞开公开 issue、PR 或发社交帖，也不要访问或销毁不属于你的数据。一份好的报告应包含受影响组件 / 合约地址 / 域名、影响，以及复现步骤或 PoC。
响应时间
| 阶段 | 目标 |
|---|---|
| 确认收到 | ≤ 48 小时 |
| 初步分级 | ≤ 5 个工作日 |
| 状态更新 | 关闭前每周一次 |
| 公开披露 | 修复上线后 90 天，或双方另行约定 |
我们支持协调披露，并对遵守本政策的善意研究提供 safe harbor。
漏洞赏金
完整计划（范围内合约、服务、域名和奖励档）写在仓库根目录 BUG_BOUNTY.md。
测试网阶段奖励以 测试 SUP 支付（无货币价值）。
| 严重程度 | 奖励（测试 SUP） | 示例 |
|---|---|---|
| Critical | 100,000 | 跨链桥资金损失；无有效源事件即 mint/unlock；验证人密钥泄露 |
| High | 20,000 | 提权；绕过多签/时间锁；抽干 DEX router 资金 |
| Medium | 5,000 | 特定服务永久 DoS；无直接资金损失的鉴权绕过 |
| Low | 1,000 | 反射型 XSS；绕过限流；敏感信息泄露 |
范围外：上游软件（BSC/geth、Uniswap、OpenZeppelin、Cloudflare、Caddy、Docker、Node.js）、单纯流量型 DoS、仅测 试网重置问题、社会工程和物理攻击。
审计就绪
毕业包包括：
- 源码 + 部署脚本 + 构建元数据，便于复现验证。
- 合约源码已在浏览器验证（可看 Read/Write Contract 面板）。
- 测试覆盖率报告（
forge coverage）。 - 链、跨链桥、DEX 健康的合成监控与告警。
加固路线（测试网 → 主网）
| 领域 | 测试网 | 主网目标 |
|---|---|---|
| 跨链桥 relayer | 1-of-1 演示 | N-of-M 多签 + HSM |
| 所有权 | EOA / 开发 Safe | 3-of-5 Safe + 48 小时 Timelock |
| ENS root | 部署者持有 | 多签 + 时间锁 |
| 价格预言机 | mock | Chainlink 风格喂价 |
荣誉榜
负责任披露有效漏洞的研究者会在此署名（需同意）。
security.txt 的 Acknowledgments 字段会指向本节。
（待补充。）