Firedancer costringe i cacciatori di bug a bruciare 1 SOL anche per segnalazioni duplicate

Firedancer, il software di validazione indipendente di Jump Crypto per Solana, richiede ai ricercatori di bruciare 1 SOL per qualificarsi a un premio per bug secondo i termini in vigore dal 18 ottobre. Il burn non è rimborsabile anche quando una segnalazione identifica una vulnerabilità reale che qualcun altro ha inviato per primo.

La modifica restringe il percorso verso il pagamento per i trovatori successivi rispetto al concorso di audit di Firedancer della primavera. In una retrospettiva del 16 ottobre per Jump Crypto, Ishan Bhatt attribuisce in parte il problema delle segnalazioni duplicate ai ritardi nella revisione del team: i ricercatori continuavano a trovare bug mentre le segnalazioni precedenti attendevano un'azione.

I termini attuali generalmente premiano la prima sottomissione riguardante lo stesso problema o una variante simile, mantenendo premi discrezionali per alcune segnalazioni successive.

Un vero bug può comunque lasciare il suo scopritore senza soldi

Il precedente concorso di Immunefi di Firedancer si è svolto dal 9 aprile al 9 maggio 2026. Le sue regole pubblicate rendevano esplicitamente le segnalazioni duplicate di un bug non corretto idonee ai premi. Una volta che una correzione veniva divulgata pubblicamente, le nuove segnalazioni diventavano invalide, mentre le segnalazioni inviate prima della correzione rimanevano idonee.

Quello era già un sistema di sottomissione a pagamento. Nella sua retrospettiva del 16 ottobre su Hardening Firedancer, Bhatt afferma che il concorso addebitava 100 dollari per segnalazione e imponeva un limite di una sottomissione per ricercatore al giorno. Lo sviluppo di ottobre presenta una struttura tariffaria diversa abbinata a una idoneità per duplicati più ristretta.

Un ricercatore successivo può guadagnare un premio dimostrando un impatto maggiore o una superficie colpita più ampia. Una prima sottomissione incompleta, o una basata su assunzioni errate, può consentire a una segnalazione successiva di diventare la scoperta principale. Il team può anche premiare lavori successivi di alta qualità.

L'idoneità si estende anche oltre lo stato di duplicato. I termini trattano il materiale pertinente del repository pubblico, inclusi commenti sul codice, richieste di pull e modifiche mitiganti su rami pubblici, come problemi noti. Problemi noti privatamente che dimostrano di precedere una segnalazione ricevono considerazione caso per caso. I requisiti di prova di concetto di base richiedono un attacco end-to-end riproducibile contro il ramo e la configurazione consentiti, mostrando un impatto pratico, soggetto a eccezioni discrezionali specificate.

Il modulo di sottomissione descrive un trasferimento irreversibile a un portafoglio di incenerimento. I termini rendono anche il burn non rimborsabile per segnalazioni invalide e fuori portata. Questo è un costo bruciato dal ricercatore; Jump non lo raccoglie come entrate da commissioni. Le segnalazioni senza un burn possono o meno essere esaminate, ma non possono ricevere un premio secondo i termini.

Firedancer mantiene i premi disponibili e li aumenta temporaneamente. Le scoperte idonee ricevono il doppio del pagamento standard fino al 20 novembre 2026, o tre volte il pagamento standard per le scoperte del consenso Alpenglow. Le scoperte che influenzano solo il consenso pre-Alpenglow ricevono premi discrezionali notevolmente ridotti. La scadenza termina l'aumento, piuttosto che il premio stesso.

Il rilascio del 14 ottobre v26.10.2 include il supporto per Alpenglow abilitato nelle configurazioni di testnet e devnet predefinite.

La coda dei duplicati aveva un problema di revisione

Il resoconto di Bhatt sul concorso primaverile spiega perché il cambiamento di pagamento va oltre la deterrenza dello spam.

Riporta 809 sottomissioni totali da 162 ricercatori, con 127 sottomissioni di sicurezza uniche al di fuori della categoria insight del concorso. Quasi la metà delle sottomissioni valide erano duplicati. La cifra di 127 conta le sottomissioni non insight distinte; la quota di duplicati si riferisce al pool più ampio di sottomissioni valide.

Le sue cifre più rivelatrici riguardano la coda. Con circa 26 sottomissioni al giorno, l'arretrato ha raggiunto un picco di 299 rapporti aperti. Circa l'80% delle sottomissioni duplicate è arrivato più di tre giorni dopo il rapporto principale, dice.

Bhatt descrive un ciclo di feedback. I risultati precedenti sono rimasti non corretti o non divulgati mentre la revisione era in ritardo, lasciando ad altri ricercatori il compito di scoprire e sottomettere gli stessi problemi. Quei rapporti hanno aggiunto ulteriore lavoro di revisione. Le sottomissioni duplicate sono diminuite man mano che la triage del team ha recuperato, secondo il suo resoconto.

Bhatt afferma anche che il team crede che quasi ogni rapporto del concorso sia stato scoperto o scritto da un agente. Suggerisce che i ricercatori che utilizzano modelli simili siano giunti agli stessi bug.

CryptoSlate ha riportato un problema simile di rischio di filing ad agosto durante la separata competizione Alpenglow di Anza, che richiedeva una combustione di 0,5 SOL per rapporto. Il resoconto retrospettivo di Firedancer aggiunge una lezione operativa specifica: il proprio arretrato di revisione ha aiutato a mantenere aperte le opportunità per scoperte ripetute.

Nel suo resoconto del 26 gennaio sulla chiusura del bounty di curl, Daniel Stenberg ha rifiutato di addebitare ai ricercatori a quel punto in parte a causa di attriti amministrativi e del rischio di scoraggiare i reporter legittimi. Ha annunciato che il bounty si sarebbe fermato il 31 gennaio mentre la segnalazione di sicurezza privata continuava.

Il test utile è ciò che porta a una correzione

Il resoconto retrospettivo di Bhatt descrive una scoperta di programmazione ad alta gravità che potrebbe far eseguire a Firedancer transazioni in un ordine diverso e divergere da altri client di validazione.

Firedancer ha cambiato parti di quel processo. Bhatt afferma che il team sta documentando gli invarianti di sistema in modo più esplicito per gli auditor automatizzati. La forma live consente 3.000 caratteri ciascuno per la descrizione della vulnerabilità, i passaggi di riproduzione, l'impatto e la prova di concetto, con un riassunto di 1.024 caratteri. Assunzioni più chiare possono aiutare i ricercatori a valutare un bug sospetto; istruzioni di riproduzione concise possono aiutare i revisori ad agire su di esso.

I termini attuali dicono anche ai ricercatori di aspettarsi un contatto tramite un Avviso di Sicurezza di GitHub entro 96 ore dopo la sottomissione e la conferma della combustione richiesta. Quella aspettativa copre il contatto iniziale. Non fornisce scadenze per convalidare l'attacco, preparare una patch o implementare una correzione.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.