バグバウンティプログラム

ONCASI は、当社プラットフォームの脆弱性を発見し、責任ある方法でご報告いただいたセキュリティ研究者に報奨金をお支払いします。このページでは、テスト対象の範囲、報奨金の決定方法、報告の提出方法、そして双方を守るための規則についてご説明します。

最終更新日: 2026年8月24日

1. はじめに

当社は実際の資金を扱うプラットフォームを運営しています。お客様は資金・本人確認書類・プレイ履歴を当社に託しており、そのため当社は、ある弱点によって損失を被ったプレイヤーからではなく、研究者の方からその弱点について先に知らせていただきたいと考えています。

そのため、当社はセキュリティコミュニティからの報告を歓迎します。oncasi.com を突破する方法 — 本来読み取れないはずのデータを読み取る、自分の所有ではない資金を移動する、アカウントを乗っ取る、何らかの制御を回避する — を見つけられた場合は、ぜひお知らせください。当社はそれを修正し、発見が真正かつ新規のものであれば、それに対して報奨金をお支払いします。

本プログラムは、第7節に記載する例外を除き、どなたにも公開されています。申請手続きはありません。問題を見つけて報告していただければ、以降は当社が対応します。

2. 報奨金

報奨金は USDT でお支払いします。固定の下限額も上限額もなく、金額は当社が問題を再現・評価した後、ONCASI の裁量により決定されます。

当社は意図的に価格表を公開していません。お支払いする金額は、その問題が引き起こしうる実害の大きさ、確実に悪用できる度合い、プラットフォームや利用者への影響範囲、そして報告がどれだけ明確かつ完全であったかによって決まります。動作する再現手順が添えられた質の高い報告は、同じ不具合を曖昧に説明しただけの報告よりも当社にとって価値が高く、報奨金にもそれが反映されます。

深刻度は報告者ではなく当社が判定します。当社の評価に同意いただけない場合は、その理由をお知らせください — 当社が見落としていた影響が示されれば、評価を見直します。

3. 対象範囲

• oncasi.com ウェブサイトおよびそのサブドメイン。
• 登録、ログイン、セッション処理、パスワード再設定、電話番号またはメールアドレスの確認。
• KYC 書類のアップロードや本人確認を含む、アカウントおよびプロフィールに関する処理。
• ウォレット関連の処理: 入金アドレスの生成、出金申請、出金先アドレスの取り扱い、取引履歴、残高計算のロジック。
• ボーナス・プロモーション・アフィリエイト・リワードのロジック。賭け条件や適格性の判定を含む。
• 本サイトが使用する公開 API および認証済み API。
• ゲーム起動に関する連携 — ゲームを開いた際のセッションおよび起動トークンの発行・検証方法。
• 上記のいずれかに該当する範囲内であれば、既存の脆弱性分類に当てはまらないビジネスロジック上の欠陥も含みます。

対象が当社の資産かどうか確信が持てない場合は、テストを行う前にお問い合わせください。

4. 対象外

以下は報奨の対象外であり、場合によっては行為そのものが認められません。

• オフィス、スタッフ、または機器に対する物理的な攻撃。
• 当社スタッフ、取引先、またはプレイヤーに対するソーシャルエンジニアリングやフィッシング。
• サービス拒否攻撃(DoS)、分散型サービス拒否攻撃(DDoS)、負荷テスト、その他の大量アクセスやリソース枯渇を狙う手法。
• 当社が管理していない第三者サービスの脆弱性 — ゲームスタジオ、決済処理事業者、ホスティング事業者、チャットウィジェットなど。これらは当該事業者にご報告ください。当社にも合わせてお知らせいただければ働きかけますが、報奨金の支払いは当該事業者の判断によります。
• 推奨されるセキュリティヘッダーの欠如、Cookie フラグの欠如、TLS 設定の弱さなど、実証された悪用方法を伴わない堅牢化に関する指摘。
• Self-XSS、および被害者自身に自分のコンソールへコードを貼り付けさせるなど、攻撃への能動的な協力を要する手法。
• 本サイトで実際に悪用可能であることの証明を伴わない、自動スキャナーの出力結果のみの報告。
• 実証された影響を伴わないレート制限の欠如。
• 状態を変更しないページでのクリックジャッキング、SPF/DMARC レコードの欠如、それ以上の影響を伴わないメールアドレスやユーザー名の列挙。
• root 化・脱獄・マルウェア感染など完全に侵害された端末を必要とする不具合、または攻撃者が現実的に取り得ない中間者的な立場を前提とする不具合。
• 提供元によるサポートが既に終了した、旧式のブラウザやプラットフォームにおける脆弱性。
• 純粋に見た目だけの問題、リンク切れ、誤字、コンテンツに関するご意見。これらはサポートまでお送りください。

5. 報告方法

ご報告は support@oncasi.com 宛にメールでお送りください。英語でご記入のうえ、問題1件につきメール1通とし、件名の先頭にご自身が該当すると考える深刻度を記載してください。

このアドレスは専用のセキュリティ用メールボックスではなく、当社の一般的な連絡先です。これは意図的なものです — @ の前の文字列よりも、実際に人が目を通していることが確認できている監視対象アドレスであることのほうが重要だと考えているためです。件名の先頭に SECURITY と深刻度を記載することで、通常のサポート問い合わせとして扱われず、正しく振り分けられます。

当社が対応可能な報告には、以下の内容が含まれています。

1. 問題の概要と、それによって攻撃者が得られる利益。
2. 影響を受ける正確な URL、エンドポイント、またはパラメータ。
3. 推測なしに再現できるほど正確な、段階的な再現手順。
4. 使用したアカウント、テストデータ、リクエストまたはペイロード。
5. 影響についての評価、および攻撃に必要な前提条件。
6. 裏付けとなる証拠 — スクリーンショット、リクエストとレスポンスのキャプチャ、または短い動画。

6. 対応までの目安

メールが当社に届いた時点を起算として、以下を目安に受領のご連絡をいたします。

受領のご連絡とは、報告を受け取り、確認作業を開始したことを意味します。検証、修正、報奨金の判断にはこれよりも長い時間がかかり、その長さは修正の複雑さによって変わります。トリアージが進む過程で随時状況をお伝えし、問題が解決した際にもお知らせします。

上記の目安を過ぎても連絡がない場合は、無視されたと決めつけず、フォローアップのメールをお送りください。メールがまれに届かないことがあります。

7. 行動規範とセーフハーバー(免責)

これらの規則は、誰も傷つけることなく研究を行えるようにするために存在します。従っていただければ保護され、従わなければ保護されません。

• テストはご自身のアカウントに対してのみ行ってください。テスト用のアカウントを登録し、作業はそのアカウント内に限定してください。
• 他の利用者のデータへのアクセス、変更、削除、持ち出しは行わないでください。既にアクセス権限のある1件の記録で問題を証明できるのであれば、そこで止めてください。1行を読み取れることを証明すれば十分であり、テーブルごとダウンロードすることは研究ではありません。
• 問題を確認できた時点で直ちに停止してください。さらに深く侵入を進めたり、影響を示すために必要な範囲を超えて権限を昇格させたり、持続的なアクセス手段を確立したりしないでください。
• 本番環境に対するサービス拒否攻撃、負荷・ストレステスト、総当たり攻撃は一切行わないでください。プレイヤーへのサービスを低下させる行為も同様です。
• 当社スタッフ、取引先、プレイヤーを標的にしないでください。フィッシング、口実を用いた詐取、他者からの認証情報の取得の試みはすべて禁止です。
• 欠陥を証明するために必要な範囲を超えて資金を操作しないでください。不具合によって残高への入金が可能な場合は、証明に足りる最小限の金額のみ入金し、それを報告し、出金しないでください。
• いかなる恐喝行為も禁止します。支払いに合意するまで詳細の開示を拒む、公開や第三者への開示をちらつかせて支払いを迫る、報告に身代金的な条件を付けるなどの行為は、直ちに関係を終了させ、本プログラムの対象外となります。
• 秘密を保持してください。公開する前に、当社に問題を修正するための合理的な期間を与え、公開の時期や内容についても事前に当社と調整してください。
• 法律を遵守してください。本プログラムのいかなる内容も、お客様の所在地または当社システムの所在地において違法な行為を許可するものではありません。

その見返りとして: 誠実に研究を行い、上記の規則に従っていただいた場合、ONCASI はその研究行為についてお客様に対して法的措置を取らず、法執行機関への通報も行いません。本方針を遵守した活動について第三者から申し立てがあった場合、当社はお客様の作業が本プログラムのもとで許可されたものであることを明らかにします。

このセーフハーバーはお客様の研究行為のみを対象とします。他者のデータへのアクセス、サービスの妨害、取得したデータの保持、または第3節の対象範囲外の活動は対象に含まれません。

8. 対象資格

• 報奨金は、真に新規かつ有効で再現可能な問題を最初に報告した方に支払われます。
• 重複した報告は報奨の対象外です。社内で既に発見済みの問題、既に修正対応中の問題、または他の方が既に報告済みの問題も同様に対象外です。
• 根本原因が同一の問題については、報奨は1件のみです。同じ根本原因に行き着く複数の報告は、1件の発見として扱います。
• 再現に必要な情報が不足している報告は、詳細の提供を求めても回答が得られない場合、クローズされることがあります。
• ONCASI の現従業員・元従業員・業務委託先、および当社取引先のスタッフの方は対象外です。
• 制裁の対象となっており当社からの支払いができない国にお住まいの研究者の方は、報奨金を受け取る資格がありません。
• 有効な USDT アドレスをご提供のうえ、ネットワークをご確認ください。お客様が誤ってご提供されたアドレスやネットワークにより生じた資金の損失について、当社は責任を負いません。
• 報奨金についてお客様の管轄地域で生じる税金は、お客様ご自身の責任となります。当社は代理での源泉徴収、税務助言、税務申告のいずれも行いません。
• 本プログラムへの参加は、ONCASI との雇用関係、パートナーシップ、その他いかなる継続的な関係も生じさせません。

9. プログラムの変更

当社は、本プログラムをいつでも変更・停止・終了することができ、その対象範囲・深刻度の定義・規則を改定することもできます。常に有効なのは、本ページ上部に記載された日付の、このページに掲載されている最新版です。既に提出された報告は、送付された時点で公開されていた版に基づいて評価されます。

10. お問い合わせ

セキュリティに関するご報告: support@oncasi.com 宛に、件名の先頭に SECURITY を付けてお送りください。それ以外のこと — アカウント、入金、出金、ボーナスなど — は、サポートまたはヘルプセンターのほうが対応が速いため、通常のお問い合わせはそちらをご利用ください。お送りいただいた報告に含まれるデータを含め、個人データの取り扱いについてはプライバシーポリシーをご覧ください。