Skip to content
Bitcoin & Satoshi LogoBitcoin & Satoshi

Home/Bitcoin&Satoshi – Responsible Disclosure / Bug Bounty

Bitcoin&Satoshi – Responsible Disclosure / Bug Bounty

English

Purpose

Security is a top priority at Bitcoin&Satoshi. If you find a vulnerability, please report it to us privately instead of exploiting or publishing it. We review every report and thank researchers for helpful findings.

Contact

  • Email: [email protected]
  • Subject: "Security: <short description>"
  • Please include: affected component, steps to reproduce, potential impact, app version / iOS version, and screenshots or a proof of concept if available.
  • We usually reply within 5 business days and keep you updated.

In scope

  • The "Bitcoin&Satoshi" iOS app (current App Store / TestFlight version)
  • The website www.bitcoin-and-satoshi.com
  • Lightning addresses at @bitcoin-and-satoshi.com (registration, naming rules, transfer)
  • Our push notification service (Cloudflare Worker)

Of particular interest: anything affecting seeds/keys, balances, payment destinations (addresses, invoices), Lightning address takeover, push content, or privacy.

Out of scope

  • Third-party services (e.g. Breez SDK / Spark, Apple, Cloudflare, Vercel, MoonPay/Ramp, exchanges) – please report to them directly
  • Social engineering, phishing, physical attacks on people or devices
  • Denial of service / load testing, spam, automated mass scanning
  • Jailbroken or already compromised devices
  • Missing best-practice headers or findings without realistic impact (e.g. raw scanner output, clickjacking on pages without actions)
  • Known issues or issues first reported by someone else

Rules

  • Test only with your own wallets, devices and small test amounts.
  • Do not access, modify or move other people's data or funds. If you come across third-party data by accident, stop, do not keep it, and tell us.
  • Do not degrade the service for other users.
  • Do not permanently occupy protected or other people's Lightning addresses.
  • Do not disclose the issue publicly until it is fixed and we agree (guideline: 90 days after the report).
  • No extortion and no demands as a condition for sharing information.

Rewards

  • Rewards are paid in sats (bitcoin via Lightning). Whether a reward is paid, and its amount, is at the sole discretion of Bitcoin&Satoshi, based on severity, report quality and impact.
  • Only the first complete report of an issue qualifies. Duplicates are not rewarded.
  • On request, we credit you in our acknowledgements ("Hall of Fame").
  • There is no legal entitlement to a reward. Recipients are responsible for their own taxes.

Safe harbor

If you act in good faith and within these rules, we will not pursue or support legal action against you and will consider your research authorized. If a third party takes legal action against you, we will make it known that you acted in line with this policy. If anything is unclear, please ask us first.

Deutsch

Worum geht es?

Sicherheit hat bei Bitcoin&Satoshi höchste Priorität. Wenn du eine Sicherheitslücke findest, melde sie bitte privat an uns, statt sie auszunutzen oder öffentlich zu machen. Wir prüfen jede Meldung und bedanken uns bei hilfreichen Funden.

Kontakt

  • E-Mail: [email protected]
  • Betreff: „Security: <kurze Beschreibung>“
  • Bitte angeben: betroffene Komponente, Schritte zum Nachstellen, mögliche Auswirkung, App-Version / iOS-Version, ggf. Screenshots oder ein Proof of Concept.
  • Wir antworten in der Regel innerhalb von 5 Werktagen und halten dich über den Stand auf dem Laufenden.

Im Scope

  • iOS-App „Bitcoin&Satoshi“ (aktuelle Version aus dem App Store / TestFlight)
  • Website www.bitcoin-and-satoshi.com
  • Lightning-Adressen unter @bitcoin-and-satoshi.com (Registrierung, Namensregeln, Übertragung)
  • Unser Push-Dienst (Cloudflare Worker) für Benachrichtigungen

Besonders interessant: alles, was Seed/Schlüssel, Guthaben, Zahlungsziele (Adressen, Rechnungen), Lightning-Adressen-Übernahme, Push-Inhalte oder Datenschutz betrifft.

Nicht im Scope

  • Dienste Dritter (z. B. Breez SDK / Spark, Apple, Cloudflare, Vercel, MoonPay/Ramp, Börsen) – bitte direkt dort melden
  • Social Engineering, Phishing, physische Angriffe auf Personen oder Geräte
  • Denial-of-Service / Lasttests, Spam, automatisierte Massen-Scans
  • Geräte mit Jailbreak oder bereits kompromittierte Geräte
  • Fehlende Best-Practice-Header oder Meldungen ohne realistische Auswirkung (z. B. reine Scanner-Ausgaben, Clickjacking auf Seiten ohne Aktionen)
  • Bereits bekannte oder von anderen zuerst gemeldete Probleme

Regeln

  • Nur mit eigenen Wallets, eigenen Geräten und kleinen Testbeträgen testen.
  • Keine fremden Daten oder Gelder ansehen, verändern oder bewegen. Falls du zufällig auf Daten Dritter stößt: sofort aufhören, nichts speichern, uns informieren.
  • Keine Störung des Dienstes für andere Nutzer.
  • Keine geschützten oder fremden Lightning-Adressen dauerhaft belegen.
  • Die Lücke erst veröffentlichen, wenn sie behoben ist und wir zugestimmt haben (Richtwert: 90 Tage nach Meldung).
  • Kein Erpressen und keine Forderungen als Bedingung für Informationen.

Belohnung

  • Belohnungen werden in Sats (Bitcoin über Lightning) gezahlt – Höhe und ob eine Belohnung gezahlt wird, liegt im alleinigen Ermessen von Bitcoin&Satoshi, abhängig von Schwere, Qualität der Meldung und Auswirkung.
  • Erste vollständige Meldung einer Lücke zählt. Doppelte Meldungen werden nicht belohnt.
  • Auf Wunsch nennen wir dich in einer Danksagung („Hall of Fame“).
  • Kein Rechtsanspruch auf eine Belohnung. Steuern trägt der Empfänger.

Safe Harbor

Wenn du nach Treu und Glauben und im Rahmen dieser Regeln handelst, werden wir keine rechtlichen Schritte gegen dich einleiten oder unterstützen und deine Forschung als autorisiert ansehen. Falls Dritte rechtliche Schritte gegen dich einleiten, machen wir öffentlich, dass du im Rahmen dieser Richtlinie gehandelt hast. Bei Unklarheiten frag bitte vorher nach.