La chasse aux bugs Alpenglow de Solana facture 0,5 SOL aux chercheurs pour signaler des défauts

Anza facture aux chercheurs en sécurité des frais non remboursables de 0,5 SOL pour chaque constatation Alpenglow avant la clôture de la compétition à 16h00 UTC le 19 août.

Les règles exigent que chaque constatation passe par un portail désigné, qui brûle les frais et crée un avis de sécurité GitHub confidentiel. Les rapports envoyés par un autre canal ne sont pas éligibles.

L'enjeu est conséquent. SIMD-0326 propose Alpenglow comme un remplacement incompatible avec les versions précédentes du protocole de consensus Proof-of-History et TowerBFT de Solana. Anza a inclus les nouveaux composants de consensus, leurs intégrations de validateurs et le chemin de migration dans le champ temporaire de la prime.

Les chercheurs paient le coût de dépôt avant qu'Anza ne détermine la validité, la gravité, la duplication ou la récompense. Ils travaillent également contre une version en mouvement de la branche principale d'Agave. Chaque rapport doit identifier le commit où le défaut est apparu, reproduire le problème là et arriver tant que le bug reste non corrigé sur la branche principale.

Une exigence de preuve de concept et la brûlure de dépôt peuvent réduire les soumissions de placeholdeurs. Elles peuvent également exclure une constatation valide dont l'impact ou la priorité est incertain. Les règles publiées ne contiennent aucune mesure de participation ou de qualité de rapport qui réglerait le compromis.

L'aperçu de la compétition indique qu'Alpenglow a été exclu de la prime permanente d'Agave pendant les phases de développement, de migration de monorepo et d'audit interne. La compétition de deux semaines ouvre un ensemble énuméré de code Alpenglow qui inclut le moteur de vote Votor, les messages de vote et de certificat, la signature BLS et la vérification des certificats, le chemin de migration TowerBFT et les surfaces d'intégration de validateurs spécifiées.

Plusieurs limites demeurent. Les problèmes publics ou précédemment divulgués ne sont pas éligibles. Les problèmes connus, le code de test, les dépendances cryptographiques tierces et les chemins ordinaires uniquement TowerBFT sont également exclus. Les chercheurs doivent démontrer leurs constatations sur un fork local, un harnais multi-nœuds ou une simulation ; les attaques sur le mainnet et le testnet public sont non autorisées.

La priorité dépend des preuves, pas seulement d'un horodatage. Le premier rapport qui répond à la barre de preuve de concept à la gravité évaluée par Anza reçoit la récompense pour cette cause racine. Un placeholder ne réserve rien. Les doublons ultérieurs ne reçoivent rien à moins qu'un ne justifie une gravité évaluée strictement plus élevée.

L'éligibilité prend fin lorsqu'un correctif atteint la branche principale d'Agave. Un rapport peut donc perdre sa chance de paiement pendant la compétition même lorsque le chercheur a reproduit le défaut contre un commit antérieur dans la fenêtre.

Selon les règles d'Alpenglow, les 50 000 SOL annoncés constituent le plus grand pool agrégé, débloqué uniquement par la gravité la plus élevée :

Les récompenses individuelles utilisent des plages plus petites. Les constatations de perte de fonds reçoivent entre 6 250 et 25 000 SOL, les violations de consensus ou de sécurité entre 3 125 et 12 500 SOL, les constatations de disponibilité entre 1 250 et 5 000 SOL, et les constatations de DoS entre 315 et 1 250 SOL.

Anza réduit les récompenses proportionnellement si les récompenses combinées dépassent le pool débloqué. Moins de constatations ou des constatations plus petites peuvent laisser une partie du pool impayée. Même un résultat de perte de fonds débloque le budget sans élever aucune récompense individuelle au-dessus de 25 000 SOL.

Le paiement intervient après la clôture de l'adjudication le 2 septembre et le KYC. Les récompenses sont des montants forfaitaires en SOL bloqués pendant 12 mois selon les termes de la prime permanente d'Agave. La brûlure de dépôt est immédiate ; la compensation dépend de l'adjudication ultérieure et reste illiquide pendant un an.

La prime Alpenglow couvre une migration de consensus.

Les composants Votor d'Alpenglow utilisent l'agrégation et la vérification des votes et certificats basés sur BLS. La notarisation, le saut, la finalisation et les certificats de retour-notar nécessitent 60 % de mise, tandis que la finalisation rapide nécessite 80 %. La conception initiale conserve Turbine pour la diffusion des données.

La proposition définit un modèle de sécurité 20+20 avec 40 % de résilience aux pannes. Elle désigne le risque d'implémentation comme le principal inconvénient, qualifie la migration de difficile et déclare que la nouvelle logique de vote est incompatible avec son prédécesseur.

Anza a inclus à la fois des crates de consensus de base et du code de validateurs qui traitent les certificats, les récompenses et l'état de finalisation. Le transfert TowerBFT est également éligible, plaçant les jonctions entre l'ancienne et la nouvelle logique sous examen aux côtés de Votor lui-même.

Les règles officielles et l'aperçu indiquaient toujours le 19 août comme date limite lors de la vérification le 18 août, sans avis d'extension sur aucune des pages. La clôture de la fenêtre de soumission n'active pas Alpenglow ni ne complète la migration.

La confidentialité sépare également la date limite de tout résultat public. Une constatation reste privée jusqu'à ce que son correctif soit expédié. Le code en attente d'activation sur le mainnet peut rester sous embargo jusqu'à ce que le correctif soit fusionné et que la fonctionnalité pertinente soit activée.

Un registre public vide après le 19 août ne révélerait rien sur le nombre d'avis. Avant l'adjudication, l'économie divulguée raconte l'histoire : 0,5 SOL quitte d'abord le portefeuille d'un chercheur, les preuves déterminent la priorité, et seule une constatation de perte de fonds justifiée ouvre le pool complet.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.