취약점 공개 정책 (Vulnerability Disclosure Policy, VDP)

본 프로그램은 빗썸이 직접 소유하거나 운영하는 시스템 및 서비스에 적용됩니다.

In Scope
적용 기간 : 상시 (별도 종료 시까지)
- - https://*.bithumb.com
- - https://api.bithumb.com
- - 공식 모바일 애플리케이션(iOS / Android)
- - 로그인 및 인증 기능
- - API Key 및 계정 보안 기능
- - 당사가 별도로 지정한 서비스 및 프로그램 (testTEST)
Out of Scope
(다음은 본 프로그램 대상에 포함되지 않습니다)
- - 금지되는 점검 행위 등 본 정책을 준수하지 않은 경우
- - 동일 취약점을 다른 연구자가 먼저 신고했거나 내부에서 이미 인지·처리 중인 경우
- - 오픈소스·제3자 솔루션의 최근 알려진 취약점으로 패치 시간이 보장되지 않은 경우
- - 일반적인 IT환경에서 재현 불가능하거나, 증명을 위한 협조 요청에 응하지 않은 경우
- - 시스템 제어권 탈취나 물리적 접근 등 실제 공격으로 이어지기 어려운 경우
- - AI 등 자동화 도구 결과를 직접 검증·증명하지 않고 그대로 제출한 경우
- - 점검 대상이 아닌 제3자 시스템에 대한 취약점인 경우
- - HTTP 헤더·에러 페이지의 서버 종류·버전 등 단순 정보 노출 및 영향도가 미미한 경우
- 단, 인정 제외 대상이더라도 심각한 해킹 공격으로 이어질 수 있음을 증명할 경우 유효한 취약점으로 인정·평가할 수 있습니다.

제보자는 아래 원칙을 준수해야 합니다.

다음 행위는 어떠한 경우에도 허용되지 않습니다.
해당 행위는 프로그램 대상에서 제외되며 법적 조치 대상이 될 수 있습니다.

01
빗썸은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 「개인정보 보호법」 등 관련 법령에 따라,
이용자 자산 및 시스템의 안전성·신뢰성 확보를 위한 보안대책의 일환으로 보안연구자와 협력합니다.
02
보안연구자가 본 정책을 준수하여 취약점을 점검한 경우, 빗썸은 어떠한 법적 문제도 제기하지 않습니다.
03
본 정책을 위반하여 취약점을 점검한 경우에는, 정보통신망법·개인정보 보호법·특정금융정보법 등
관련 법령에 따라 처벌받을 수 있습니다.

취약점은 아래 채널을 통해 제보할 수 있습니다.

원활한 검증 및 대응을 위해 아래 정보를 포함해 주세요.

당사의 보안취약점 공개 정책은 Coordinated Vulnerability Disclosure(CVD) 원칙 및 관련 규정에 따라 운영됩니다.

빗썸은 본 정책을 수시로 변경할 수 있으며, 변경 사항은 본 페이지를 통해 공지됩니다.

제보된 취약점의 심각도에 따라 포상금이 지급됩니다.

심각도

포상금

설명

Critical

- 최고 2억원

별도의 특수한 조건 없이, 또는 낮은 권한만으로 거래소의 핵심 내부 시스템에 접근하거나 이를 제어하여 서비스, 자산, 고객 정보 또는 운영 안정성에 심각한 영향을 줄 수 있는 취약점

High

- 최고 5천만원

주요 서비스에서 인증 우회, 권한 상승, 임의의 코드 실행, 임의의 명령어 실행 등으로 인해 핵심 기능이나 중요 데이터에 중대한 영향을 줄 수 있는 취약점

Medium

- 최고 1천만원

주요 서비스에서 제한적인 권한 탈취, 민감 정보 노출, 데이터 조작 또는 보안 통제 우회가 가능하나, 영향 범위가 제한적이거나 추가 조건이 필요한 취약점

Low

- 최고 500만원

웹 서비스, 모바일 App, API 또는 기타 사용자-facing 서비스에서 확인되는 취약점 중, 보안상 개선이 필요하나 실제 영향이 제한적이고 악용 가능성이 낮은 취약점

Informational

- 최고 10만원

직접적인 보안 영향은 낮거나 즉각적인 악용 가능성은 확인되지 않았지만, 보안 수준 향상 또는 잠재적 위험 예방을 위해 참고할 수 있는 보안 관련 이슈