Construindo a carteira mais segura do ecossistema, mantendo os usuários no controle
Auditorias de segurança
A segurança está no centro do nosso desenvolvimento. Nossas bibliotecas foram auditadas por especialistas em segurança e pesquisadores independentes. Os relatórios são públicos:
Diligence - Agosto de 2025 - Contrato mUSD (relatório)
Auditorias adicionais do contrato mUSD M^Zero Labs: ChainSecurity, Guardian
OtterSec - Outubro de 2024 - LavaMoat Webpack Plugin (relatório)
Diligence - Outubro de 2024 - Delegation Framework (relatório)
Diligence - Agosto de 2024 - Delegation Framework (relatório)
Diligence - Junho de 2024 - Delegator (relatório)
Cure53 - Abril de 2024 - Key-Tree Interface (relatório)
Cure53 - Março de 2024 - Signing Snap & Codebase (relatório)
Least Authority - Setembro de 2023 - Snaps (relatório)
Least Authority - Setembro de 2023 - Snaps Extension Integration (relatório)
Cure53 - Fevereiro de 2023 - Key-Tree Interface (relatório)
Least Authority 2022 - Seed Phrase Implementation (relatório)
Least Authority - Março de 2020 - LavaMoat Plugin (relatório)
Least Authority - Novembro de 2019 - Permissions System + CapNode (relatório)
Least Authority - Abril de 2019 - Mobile App (relatório)
Cure53 - Agosto de 2017 - MetaMask Pentest (relatório)
Bug Bounty da MetaMask
Trabalhamos com uma comunidade ativa de pesquisadores de segurança por meio do nosso programa de bug bounty para melhorar continuamente a segurança da MetaMask.
Sua participação neste programa de bug bounty é voluntária e está sujeita aos termos e condições estabelecidos abaixo. Ao relatar uma vulnerabilidade à MetaMask e, consequentemente, à Consensys, você reconhece que leu e concordou em cumprir integralmente as regras divulgadas neste programa.
Relatando uma vulnerabilidade
Se você acredita ter identificado uma possível vulnerabilidade de segurança em nossos produtos ou serviços, por gentileza, relate usando uma das opções abaixo. Por favor, não abra uma issue pública nem discuta a vulnerabilidade em locais públicos como Discord, Slack, Twitter, etc.
Opções para relatar, caso você acredite ter encontrado uma vulnerabilidade:
Envie um relatório pela plataforma HackerOne https://hackerone.com/metamask
Se você não puder usar o HackerOne, agradecemos relatórios enviados diretamente para [email protected]. Se você tiver dados que considera particularmente sensíveis e quiser criptografá-los antes de enviá-los ao nosso bug bounty, utilize a chave OpenPGP para criptografia no final desta página.
Especialistas em segurança de blockchain e membros da nossa Comunidade DeFi que desejam acesso ao nosso ambiente de teste autenticado podem solicitar acesso aos nossos programas da Consensys em https://hackerone.com/consensys.
Faremos o máximo esforço para tratar todas as vulnerabilidades o mais rápido possível e coordenar a divulgação da descoberta com o pesquisador. Todos os outros bugs não relacionados à segurança na base de código devem ser registrados como uma issue no GitHub.
Política para divulgação responsável de vulnerabilidades ao público
Nossa política de divulgação responsável adota um processo em que as vulnerabilidades são primeiro triadas e tratadas de forma privada, sendo divulgadas publicamente apenas após um período razoável. Isso permite que a vulnerabilidade seja corrigida e que haja um caminho de atualização para os usuários. A política de divulgação responsável ajuda a proteger os usuários do projeto contra vulnerabilidades de segurança divulgadas publicamente antes que uma correção seja lançada.
Por favor, abstenha-se de atos mal-intencionados que coloquem nossos usuários, o projeto ou qualquer membro da equipe do projeto em risco.
Por favor, não divulgue suas descobertas fora deste programa até que tenhamos tido a oportunidade de analisá-las e tratá-las com você.
Siga as diretrizes de divulgação do HackerOne.