โปรแกรม Bug Bounty

ONCASI มอบรางวัลให้แก่นักวิจัยด้านความปลอดภัยที่ค้นพบและรายงานช่องโหว่บนแพลตฟอร์มของเราอย่างรับผิดชอบ หน้านี้อธิบายว่าอะไรอยู่ในขอบเขต รางวัลถูกตัดสินอย่างไร วิธีการส่งรายงาน และกฎที่คุ้มครองทั้งสองฝ่าย

อัปเดตล่าสุด: 24 สิงหาคม 2026

1. บทนำ

เราให้บริการแพลตฟอร์มที่มีเงินจริงเข้ามาเกี่ยวข้อง ผู้เล่นไว้วางใจเรากับเงินทุน เอกสารยืนยันตัวตน และประวัติการเล่นของพวกเขา และเราอยากได้ยินเรื่องช่องโหว่จากนักวิจัยด้านความปลอดภัยมากกว่าจะได้ยินจากผู้เล่นที่สูญเสียเงินเพราะช่องโหว่นั้น

ดังนั้นเรายินดีรับรายงานจากชุมชนด้านความปลอดภัย หากคุณพบวิธีเจาะระบบบางอย่างบน oncasi.com — อ่านข้อมูลที่คุณไม่ควรอ่านได้ ย้ายเงินที่ไม่ใช่ของคุณ เข้าควบคุมบัญชีผู้อื่น หรือข้ามการควบคุมความปลอดภัย — เราอยากรู้ เราจะแก้ไข และหากสิ่งที่พบเป็นเรื่องจริงและใหม่ เราจะให้รางวัลตอบแทนคุณ

โปรแกรมนี้เปิดให้ทุกคนเข้าร่วม ยกเว้นกรณีที่ระบุไว้ในข้อ 7 ไม่มีขั้นตอนสมัคร: พบช่องโหว่ รายงานเข้ามา แล้วเราจะดำเนินการต่อจากนั้น

2. รางวัล

รางวัลจ่ายเป็น USDT ไม่มีจำนวนขั้นต่ำและไม่มีจำนวนสูงสุดที่กำหนดไว้ตายตัว จำนวนเงินจะถูกตัดสินโดย ONCASI ตามดุลยพินิจของเรา หลังจากที่เราได้ทำการทดสอบซ้ำและประเมินช่องโหว่นั้นแล้ว

เราตั้งใจไม่เผยแพร่ตารางราคา สิ่งที่เราจ่ายขึ้นอยู่กับว่าช่องโหว่นั้นอาจก่อความเสียหายจริงได้มากเพียงใด สามารถถูกโจมตีซ้ำได้น่าเชื่อถือแค่ไหน ครอบคลุมส่วนใดของแพลตฟอร์มหรือกระทบผู้ใช้กี่คน และรายงานของคุณเขียนได้ชัดเจนและครบถ้วนเพียงใด รายงานที่เขียนดีพร้อมวิธีทำซ้ำที่ใช้งานได้จริงมีค่ากับเรามากกว่ารายงานที่คลุมเครือซึ่งอธิบายบั๊กเดียวกัน และเราจ่ายรางวัลตามนั้น

เราเป็นผู้กำหนดระดับความรุนแรง ไม่ใช่ผู้รายงาน หากคุณไม่เห็นด้วยกับการประเมินของเรา บอกเหตุผลมา — หากเหตุผลของคุณแสดงให้เห็นผลกระทบที่เราพลาดไป เราจะปรับระดับใหม่ให้

3. อยู่ในขอบเขต

• เว็บไซต์ oncasi.com และโดเมนย่อยทั้งหมด
• การสมัครสมาชิก การเข้าสู่ระบบ การจัดการเซสชัน การรีเซ็ตรหัสผ่าน และการยืนยันตัวตนผ่านโทรศัพท์หรืออีเมล
• ขั้นตอนบัญชีและโปรไฟล์ รวมถึงการอัปโหลดเอกสาร KYC และการยืนยันตัวตน
• ขั้นตอนเกี่ยวกับวอลเล็ต: การสร้างแอดเดรสฝากเงิน คำขอถอนเงิน การจัดการแอดเดรสถอนเงิน ประวัติธุรกรรม และตรรกะยอดคงเหลือ
• ตรรกะของโบนัส โปรโมชั่น ระบบตัวแทน และ Rewards รวมถึงการตรวจสอบเงื่อนไขการเดิมพันและสิทธิ์
• API สาธารณะและ API ที่ต้องยืนยันตัวตนซึ่งใช้งานโดยเว็บไซต์
• ระบบเชื่อมต่อการเปิดเกม — วิธีที่เซสชันและ launch token ถูกออกและตรวจสอบเมื่อมีการเปิดเกม
• ข้อผิดพลาดเชิงตรรกะทางธุรกิจในหัวข้อใด ๆ ข้างต้น แม้ในกรณีที่ไม่เข้าข่ายช่องโหว่รูปแบบใดที่รู้จัก

หากคุณไม่แน่ใจว่าทรัพย์สินใดเป็นของเราหรือไม่ ให้สอบถามก่อนทำการทดสอบ

4. นอกขอบเขต

รายการต่อไปนี้ไม่มีสิทธิ์ได้รับรางวัล และในบางกรณีไม่ได้รับอนุญาตให้ทำเลย:

• การโจมตีทางกายภาพต่อสำนักงาน พนักงาน หรือฮาร์ดแวร์
• วิศวกรรมสังคม (social engineering) หรือฟิชชิ่งต่อพนักงาน ผู้ให้บริการ หรือผู้เล่นของเรา
• การโจมตีแบบปฏิเสธการให้บริการ (denial of service) การโจมตีแบบกระจาย (distributed denial of service) การทดสอบโหลด และเทคนิคใด ๆ ที่ใช้ปริมาณข้อมูลจำนวนมากหรือทำให้ทรัพยากรหมดไป
• ช่องโหว่ในบริการของบุคคลที่สามที่เราไม่ได้ควบคุม — ค่ายเกม ผู้ให้บริการชำระเงิน ผู้ให้บริการโฮสติ้ง วิดเจ็ตแชท ให้รายงานไปยังผู้ให้บริการนั้นโดยตรง แจ้งเราด้วยเพื่อให้เราติดตามเรื่องได้ แต่รางวัลเป็นหน้าที่ของผู้ให้บริการนั้นที่จะจ่าย
• การขาดส่วนหัวความปลอดภัยตามแนวปฏิบัติที่ดี การขาด cookie flag การตั้งค่า TLS ที่อ่อนแอ หรือรายการเสริมความแข็งแกร่งลักษณะเดียวกันที่ไม่มีการพิสูจน์การโจมตีจริง
• Self-XSS และสิ่งใดก็ตามที่ต้องให้เหยื่อวางโค้ดลงในคอนโซลของตัวเองหรือช่วยเหลือการโจมตีอย่างจริงจัง
• ผลลัพธ์จากเครื่องมือสแกนอัตโนมัติที่ส่งเข้ามาโดยไม่มีหลักฐานว่าช่องโหว่นั้นสามารถถูกโจมตีได้จริงในระบบของเรา
• การขาด rate limiting โดยไม่มีการพิสูจน์ผลกระทบจริง
• Clickjacking บนหน้าที่ไม่มีการกระทำที่เปลี่ยนสถานะข้อมูล การขาดระเบียน SPF/DMARC การนับหาอีเมลที่มีอยู่จริง (email enumeration) และการนับหาชื่อผู้ใช้ (username enumeration) โดยไม่มีผลกระทบเพิ่มเติม
• บั๊กที่ต้องอาศัยอุปกรณ์ที่ถูก root, jailbreak, ติดมัลแวร์ หรือถูกเจาะระบบโดยรวมอยู่แล้ว หรือตำแหน่ง man-in-the-middle ที่ผู้โจมตีไม่สามารถทำได้จริงในทางปฏิบัติ
• ช่องโหว่ในเบราว์เซอร์หรือแพลตฟอร์มรุ่นเก่าที่ผู้ผลิตเลิกสนับสนุนแล้ว
• ปัญหาที่เป็นเพียงเรื่องความสวยงาม ลิงก์เสีย การพิมพ์ผิด และข้อร้องเรียนเกี่ยวกับเนื้อหา ส่งเรื่องเหล่านี้ไปที่ฝ่ายสนับสนุนแทน

5. วิธีการรายงาน

ส่งรายงานของคุณทางอีเมลไปที่ support@oncasi.com กรุณาเขียนเป็นภาษาอังกฤษ ใช้อีเมลหนึ่งฉบับต่อหนึ่งช่องโหว่ และระบุระดับความรุนแรงที่คุณคิดว่าเกี่ยวข้องไว้ในบรรทัดหัวเรื่อง

นั่นคือที่อยู่อีเมลทั่วไปของเรา ไม่ใช่กล่องจดหมายด้านความปลอดภัยโดยเฉพาะ และเป็นความตั้งใจ: เป็นที่อยู่ที่มีคนคอยตรวจสอบอยู่จริง ซึ่งสำคัญกว่าคำที่อยู่หน้า @ ใส่ SECURITY และระดับความรุนแรงไว้ที่ต้นบรรทัดหัวเรื่อง เพื่อให้รายงานของคุณถูกส่งไปยังจุดที่ถูกต้องแทนที่จะถูกมองว่าเป็นตั๋วขอความช่วยเหลือทั่วไป

รายงานที่เราสามารถดำเนินการต่อได้ต้องมี:

1. สรุปสั้น ๆ เกี่ยวกับปัญหาและสิ่งที่ผู้โจมตีจะได้รับจากช่องโหว่นี้
2. URL, endpoint หรือพารามิเตอร์ที่ได้รับผลกระทบอย่างชัดเจน
3. ขั้นตอนการทำซ้ำแบบละเอียด ที่แม่นยำพอให้เราทำตามได้โดยไม่ต้องเดา
4. บัญชี ข้อมูลทดสอบ คำขอ หรือ payload ที่ใช้
5. การประเมินผลกระทบของคุณ และเงื่อนไขเบื้องต้นใด ๆ ที่จำเป็นสำหรับการโจมตี
6. หลักฐานประกอบ — ภาพหน้าจอ การบันทึกคำขอและการตอบกลับ หรือวิดีโอสั้น ๆ

6. ระยะเวลาตอบรับ

เราตั้งเป้าที่จะตอบรับรายงานตามกรอบเวลาต่อไปนี้ นับจากเวลาที่อีเมลมาถึงเรา:

การตอบรับหมายความว่าเราได้รับรายงานแล้วและเริ่มตรวจสอบ การยืนยันความถูกต้อง การแก้ไข และการตัดสินใจเรื่องรางวัลใช้เวลานานกว่านั้น และจะนานแค่ไหนขึ้นอยู่กับความซับซ้อนของการแก้ไข เราจะอัปเดตความคืบหน้าให้คุณทราบตลอดขั้นตอนการตรวจสอบ และจะแจ้งให้ทราบเมื่อปัญหาได้รับการแก้ไขแล้ว

หากคุณไม่ได้รับการติดต่อจากเราภายในกรอบเวลาดังกล่าว กรุณาส่งอีเมลติดตามผลแทนที่จะสันนิษฐานว่ารายงานถูกละเลย — บางครั้งอีเมลก็หลงทางได้

7. กฎการปฏิบัติและ Safe Harbour

กฎเหล่านี้มีไว้เพื่อให้การวิจัยเกิดขึ้นได้โดยไม่มีใครได้รับความเสียหาย ปฏิบัติตามแล้วคุณจะได้รับความคุ้มครอง ฝ่าฝืนแล้วคุณจะไม่ได้รับความคุ้มครอง

• ทดสอบเฉพาะกับบัญชีของคุณเองเท่านั้น ลงทะเบียนบัญชีสำหรับการทดสอบและจำกัดการทำงานของคุณไว้เฉพาะบัญชีนั้น
• ห้ามเข้าถึง แก้ไข ลบ หรือดึงข้อมูลของผู้ใช้รายอื่นออกไป หากคุณสามารถพิสูจน์ปัญหาได้ด้วยข้อมูลเพียงหนึ่งรายการที่คุณเข้าถึงได้อยู่แล้ว ให้หยุดที่ตรงนั้น การพิสูจน์ว่าคุณสามารถอ่านข้อมูลได้หนึ่งแถวก็เพียงพอแล้ว การดาวน์โหลดทั้งตารางไม่ใช่การวิจัย
• หยุดทันทีที่คุณยืนยันปัญหาได้แล้ว ห้ามขุดลึกลงไปอีก ห้ามยกระดับการโจมตีเกินกว่าที่จำเป็นเพื่อแสดงผลกระทบ และห้ามฝังตัวคงอยู่ในระบบ (persistence)
• ห้ามทำ denial of service ห้ามทดสอบโหลดหรือทดสอบความเค้น ห้าม brute force กับระบบจริง และห้ามทำสิ่งใดที่ทำให้บริการสำหรับผู้เล่นแย่ลง
• ห้ามพุ่งเป้าไปที่พนักงาน ผู้ให้บริการ หรือผู้เล่นของเรา — ห้ามฟิชชิ่ง ห้าม pretexting ห้ามพยายามขอข้อมูลรับรอง (credentials) จากบุคคล
• ห้ามปั่นเงินเกินกว่าที่จำเป็นเพื่อพิสูจน์ช่องโหว่ หากบั๊กทำให้คุณสามารถเพิ่มยอดคงเหลือได้ ให้เพิ่มเป็นจำนวนน้อยที่สุดที่พิสูจน์ได้ รายงานเข้ามา และห้ามถอนเงินนั้นออกไป
• ห้ามข่มขู่เรียกร้องผลประโยชน์ (extortion) การปฏิเสธที่จะเปิดเผยรายละเอียดจนกว่าจะตกลงเรื่องการจ่ายเงิน การขู่จะเผยแพร่หรือเปิดเผยข้อมูลให้บุคคลที่สามเพื่อบีบให้จ่ายเงิน หรือการแนบเงื่อนไขลักษณะค่าไถ่ใด ๆ ไว้กับรายงาน จะยุติความสัมพันธ์นี้ทันทีและทำให้เรื่องนั้นออกจากโปรแกรมนี้
• รักษาความลับ ให้เวลาที่สมเหตุสมผลแก่เราในการแก้ไขปัญหาก่อนที่จะเปิดเผยสิ่งใดต่อสาธารณะ และประสานงานเรื่องเวลาและเนื้อหาของการเผยแพร่ใด ๆ กับเราก่อนล่วงหน้า
• ปฏิบัติตามกฎหมาย ไม่มีสิ่งใดในโปรแกรมนี้ที่อนุญาตให้ทำกิจกรรมที่ผิดกฎหมายในสถานที่ที่คุณอยู่หรือสถานที่ที่ระบบของเราตั้งอยู่

ในทางกลับกัน: หากคุณดำเนินการวิจัยด้วยความสุจริตใจและปฏิบัติตามกฎข้างต้น ONCASI จะไม่ดำเนินคดีทางกฎหมายกับคุณสำหรับการวิจัยนั้น และเราจะไม่แจ้งเรื่องดังกล่าวต่อเจ้าหน้าที่บังคับใช้กฎหมาย หากบุคคลที่สามยื่นข้อเรียกร้องเกี่ยวกับกิจกรรมที่เป็นไปตามนโยบายนี้ เราจะยืนยันว่างานของคุณได้รับอนุญาตภายใต้โปรแกรมนี้

Safe harbour นี้ครอบคลุมเฉพาะการวิจัยของคุณเท่านั้น ไม่ครอบคลุมการเข้าถึงข้อมูลของผู้อื่น การรบกวนการให้บริการ การเก็บรักษาข้อมูลที่คุณได้มา หรือกิจกรรมใด ๆ ที่อยู่นอกขอบเขตตามข้อ 3

8. คุณสมบัติผู้มีสิทธิ์

• รางวัลมอบให้แก่ผู้รายงานรายแรกของช่องโหว่ที่เป็นเรื่องใหม่จริง ถูกต้อง และสามารถทำซ้ำได้
• รายงานที่ซ้ำกันจะไม่ได้รับรางวัล เช่นเดียวกับปัญหาที่เรารู้อยู่แล้ว — ไม่ว่าจะพบจากภายใน อยู่ระหว่างการแก้ไขอยู่แล้ว หรือมีผู้อื่นรายงานมาก่อนแล้ว
• รางวัลหนึ่งรายการต่อหนึ่งช่องโหว่ต้นตอ รายงานหลายฉบับที่ย้อนกลับไปยังสาเหตุรากเดียวกันจะถือเป็นการค้นพบเดียว
• รายงานที่ไม่มีข้อมูลเพียงพอสำหรับการทำซ้ำอาจถูกปิด หากเราขอรายละเอียดเพิ่มเติมแล้วแต่ไม่ได้รับคำตอบ
• พนักงานและผู้รับจ้างปัจจุบันและอดีตของ ONCASI รวมถึงพนักงานของผู้ให้บริการของเรา ไม่มีสิทธิ์เข้าร่วม
• นักวิจัยในประเทศที่อยู่ภายใต้มาตรการคว่ำบาตรซึ่งทำให้เราไม่สามารถจ่ายเงินได้ ไม่มีสิทธิ์รับรางวัล
• คุณต้องระบุแอดเดรส USDT ที่ถูกต้องและยืนยันเครือข่ายที่ใช้ เราไม่รับผิดชอบต่อเงินที่สูญหายเนื่องจากแอดเดรสหรือเครือข่ายที่คุณระบุผิดพลาด
• คุณเป็นผู้รับผิดชอบภาษีใด ๆ ที่เกี่ยวข้องกับรางวัลในเขตอำนาจของคุณเอง เราไม่หัก ณ ที่จ่าย ไม่ให้คำแนะนำ และไม่รายงานภาษีแทนคุณ
• การเข้าร่วมโปรแกรมนี้ไม่ก่อให้เกิดความสัมพันธ์การจ้างงาน หุ้นส่วน หรือความสัมพันธ์ต่อเนื่องใด ๆ กับ ONCASI

9. การเปลี่ยนแปลงโปรแกรม

เราอาจเปลี่ยนแปลง ระงับ หรือยุติโปรแกรมนี้ และอาจปรับปรุงขอบเขต นิยามระดับความรุนแรง และกฎต่าง ๆ ได้ทุกเมื่อ ฉบับปัจจุบันคือฉบับที่แสดงอยู่ในหน้านี้เสมอ ตามวันที่ระบุไว้ด้านบน รายงานที่ส่งเข้ามาแล้วจะได้รับการประเมินตามฉบับที่เผยแพร่อยู่ในขณะที่ส่งรายงานนั้น

10. ติดต่อเรา

รายงานด้านความปลอดภัย: support@oncasi.com โดยใส่ SECURITY ไว้ที่ต้นบรรทัดหัวเรื่อง ส่วนเรื่องอื่น ๆ ทั้งหมด — บัญชี การฝากเงิน การถอนเงิน โบนัส — จะได้รับการดำเนินการเร็วกว่าผ่านทาง ฝ่ายสนับสนุน หรือ ศูนย์ช่วยเหลือ ดังนั้นกรุณาใช้ช่องทางเหล่านั้นแทนการส่งคำถามทั่วไปมาที่นี่ สำหรับวิธีที่เราจัดการข้อมูลส่วนบุคคล รวมถึงข้อมูลใด ๆ ที่มีอยู่ในรายงานที่คุณส่งมาให้เรา โปรดดูนโยบายความเป็นส่วนตัวของเรา