Firedancer заставляет охотников за багами сжигать 1 SOL даже за дублирующие отчеты об ошибках

Firedancer, независимое программное обеспечение валидатора Jump Crypto для Solana, требует от исследователей сжигать 1 SOL, чтобы иметь право на получение вознаграждения за баги в соответствии с условиями, действующими с 18 октября. Сжигание не подлежит возврату, даже если отчет выявляет реальную уязвимость, которую кто-то другой подал первым.

Это изменение сужает путь к выплате для поздних находок по сравнению с весенним конкурсом аудита Firedancer. В ретроспективе Jump Crypto от 16 октября Ишан Бхат частично связывает проблему дублирующих отчетов с задержками в собственном обзоре команды: исследователи продолжали находить ошибки, пока предыдущие отчеты ждали действий.

Текущие условия в целом вознаграждают первое представление о той же проблеме или ее аналогичном варианте, сохраняя при этом дискреционные вознаграждения для некоторых поздних отчетов.

Реальная ошибка все еще может оставить ее находчика без денег

Ранее конкурс Immunefi Firedancer проходил с 9 апреля по 9 мая 2026 года. Его опубликованные правила явно делали дублирующие отчеты о неустраненной ошибке правомочными для получения вознаграждений. Как только исправление было публично раскрыто, новые отчеты становились недействительными, в то время как отчеты, поданные до исправления, оставались правомочными.

Это уже была система оплаченных заявок. В своей ретроспективе Hardening Firedancer от 16 октября Бхат говорит, что конкурс взимал 100 долларов за отчет и устанавливал лимит на одну заявку от исследователя в день. Октябрьское развитие представляет собой другую структуру сборов в сочетании с более узкой правомочностью дубликатов.

Поздний исследователь может получить вознаграждение, продемонстрировав большее влияние или более широкий охват. Неполное первое представление или основанное на неверных предположениях может позволить позднему отчету стать главным открытием. Команда также может вознаградить качественную позднюю работу.

Правомочность также распространяется за пределы статуса дубликата. Условия рассматривают соответствующий материал из публичных репозиториев, включая комментарии к коду, запросы на внесение изменений и смягчающие изменения на публичных ветках, как известные проблемы. Частно известные проблемы, которые явно предшествуют отчету, рассматриваются индивидуально. Базовые требования к доказательству концепции требуют воспроизводимого сквозного атаки против разрешенной ветки и конфигурации, показывающего практическое влияние, подлежащее указанным дискреционным исключениям.

Форма подачи описывает необратимый перевод на кошелек для сжигания. Условия также делают сжигание невозвратным для недействительных и выходящих за рамки отчетов. Это затраты, которые сжигает исследователь; Jump не собирает их в качестве дохода от сборов. Отчеты без сжигания могут быть рассмотрены или не рассмотрены, но не могут получить вознаграждение в соответствии с условиями.

Firedancer продолжает предлагать вознаграждения и временно увеличивает их. Правомочные находки получают вдвое больше стандартной выплаты до 20 ноября 2026 года или втрое больше стандартной выплаты за находки консенсуса Alpenglow. Находки, затрагивающие только консенсус до Alpenglow, получают значительно сниженные дискреционные вознаграждения. Срок действия заканчивает увеличение, а не само вознаграждение.

В выпуске от 14 октября v26.10.2 включена поддержка Alpenglow, включенная в конфигурации тестовой сети и сети разработки по умолчанию.

Очередь дубликатов имела проблему с обзором

Отчет Бхатта о весеннем конкурсе объясняет, почему изменение оплаты выходит за рамки предотвращения спама.

Он сообщает о 809 общих подачах от 162 исследователей, что привело к 127 уникальным подачам по безопасности вне категории инсайтов конкурса. Почти половина действительных подач оказалась дубликатами. Число 127 учитывает различные неподходящие подачи; доля дубликатов относится к более широкому пулу действительных подач.

Его более откровенные цифры касаются очереди. При примерно 26 подачах в день, количество открытых отчетов достигло пика в 299. Около 80% дубликатов поступили более чем через три дня после первичного отчета, говорит он.

Бхатт описывает замкнутый цикл обратной связи. Ранее выявленные проблемы оставались неустраненными или нераскрытыми, пока обзор задерживался, оставляя другим исследователям возможность обнаружить и подать те же проблемы. Эти отчеты добавляли больше работы по обзору. Дубликаты подач уменьшились, когда команда смогла справиться с триажем, согласно его отчету.

Бхатт также говорит, что команда считает, что почти каждый отчет конкурса был обнаружен или написан агентом. Он предполагает, что исследователи, использующие аналогичные модели, пришли к одним и тем же ошибкам.

CryptoSlate сообщила о подобной проблеме с риском подачи в августе во время отдельного конкурса Alpenglow от Anza, который требовал сжигания 0.5 SOL за отчет. Ретроспектива Firedancer добавляет конкретный операционный урок: его собственная очередь обзора помогла сохранить возможности для повторного открытия.

В своем отчете от 26 января о закрытии вознаграждения curl Дэниел Стенберг отклонил взимание платы с исследователей на тот момент отчасти из-за административных трений и риска отпугивания законных репортеров. Он объявил, что вознаграждение прекратится 31 января, в то время как частная отчетность по безопасности продолжится.

Полезный тест — это то, что приводит к исправлению

Ретроспектива Бхатта описывает находку с высокой степенью серьезности, которая может заставить Firedancer выполнять транзакции в другом порядке и отклоняться от других клиентов-валидаторов.

Firedancer изменил части этого процесса. Бхатт говорит, что команда более явно документирует системные инварианты для автоматизированных аудиторов. Живой формат позволяет 3000 символов для описания уязвимости, шагов воспроизведения, воздействия и доказательства концепции, с резюме в 1024 символа. Более четкие предположения могут помочь исследователям оценить подозреваемую ошибку; краткие инструкции по воспроизведению могут помочь рецензентам действовать по этому поводу.

Текущие условия также сообщают исследователям, что они могут ожидать контакта через GitHub Security Advisory в течение 96 часов после подачи и подтверждения необходимого сжигания. Это ожидание охватывает первоначальный контакт. Оно не предоставляет сроков для проверки атаки, подготовки патча или развертывания исправления.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.