Firedancer faz com que caçadores de recompensas queimem 1 SOL mesmo para relatórios de bugs duplicados

Firedancer, o software de validador independente da Jump Crypto para Solana, exige que os pesquisadores queimem 1 SOL para se qualificarem para uma recompensa por bugs sob os termos que entram em vigor em 18 de outubro. A queima não é reembolsável, mesmo quando um relatório identifica uma vulnerabilidade real que alguém já enviou primeiro.

A mudança restringe o caminho para o pagamento para os descobridores posteriores em comparação com o concurso de auditoria da Firedancer na primavera. Em uma retrospectiva de 16 de outubro para a Jump Crypto, Ishan Bhatt atribui parcialmente o problema de relatórios duplicados aos próprios atrasos de revisão da equipe: os pesquisadores continuavam encontrando bugs enquanto os relatórios anteriores aguardavam ação.

Os termos atuais geralmente premiam a primeira submissão sobre o mesmo problema ou uma variante semelhante, enquanto preservam recompensas discricionárias para alguns relatórios posteriores.

Um bug real ainda pode deixar seu descobridor sem dinheiro

O concurso anterior da Firedancer no Immunefi ocorreu de 9 de abril a 9 de maio de 2026. Suas regras publicadas tornavam explicitamente relatórios duplicados de um bug não corrigido elegíveis para recompensas. Uma vez que uma correção foi divulgada publicamente, novos relatórios tornaram-se inválidos, enquanto os relatórios enviados antes da correção permaneceram elegíveis.

Esse já era um sistema de submissão paga. Em sua retrospectiva de 16 de outubro sobre o fortalecimento da Firedancer, Bhatt diz que o concurso cobrava $100 por relatório e impunha um limite de uma submissão por pesquisador por dia. O desenvolvimento de outubro é uma estrutura de taxas diferente, combinada com uma elegibilidade duplicada mais restrita.

Um pesquisador posterior pode ganhar uma recompensa demonstrando maior impacto ou uma superfície afetada mais ampla. Uma primeira submissão incompleta, ou uma que se baseia em suposições incorretas, pode permitir que um relatório posterior se torne a descoberta principal. A equipe também pode recompensar trabalhos posteriores de alta qualidade.

A elegibilidade também se estende além do status duplicado. Os termos tratam material relevante de repositórios públicos, incluindo comentários de código, pull requests e mudanças mitigadoras em branches públicas, como problemas conhecidos. Problemas conhecidos privadamente que demonstravelmente precedem um relatório recebem consideração caso a caso. Os requisitos básicos de prova de conceito exigem um ataque de ponta a ponta reproduzível contra a branch e configuração permitidas, mostrando impacto prático, sujeito a exceções discricionárias especificadas.

O formulário de submissão descreve uma transferência irreversível para uma carteira de incineração. Os termos também tornam a queima não reembolsável para relatórios inválidos e fora do escopo. Este é um custo queimado pelo pesquisador; a Jump não o coleta como receita de taxas. Relatórios sem uma queima podem ou não ser revisados, mas não podem receber uma recompensa sob os termos.

A Firedancer está mantendo recompensas disponíveis e aumentando temporariamente. Descobertas elegíveis recebem o dobro do pagamento padrão até 20 de novembro de 2026, ou três vezes o pagamento padrão para descobertas de consenso Alpenglow. Descobertas que afetam apenas o consenso pré-Alpenglow recebem recompensas discricionárias muito reduzidas. O prazo encerra o aumento, em vez da recompensa em si.

A versão v26.10.2 de 14 de outubro inclui suporte ao Alpenglow habilitado nas configurações padrão de testnet e devnet.

A fila de duplicatas tinha um problema de revisão

O relato de Bhatt sobre o concurso de primavera explica por que a mudança de pagamento vai além da prevenção de spam.

Ele relata 809 submissões totais de 162 pesquisadores, resultando em 127 submissões de segurança únicas fora da categoria de insights do concurso. Quase metade das submissões válidas eram duplicatas. O número de 127 conta submissões distintas não relacionadas a insights; a parte duplicada refere-se ao conjunto mais amplo de submissões válidas.

Os números mais reveladores de Bhatt dizem respeito à fila. Com cerca de 26 submissões por dia, o backlog atingiu um pico de 299 relatórios abertos. Cerca de 80% das submissões duplicadas chegaram mais de três dias após o relatório principal, diz ele.

Bhatt descreve um ciclo de feedback. Descobertas anteriores permaneceram não corrigidas ou não divulgadas enquanto a revisão atrasava, deixando outros pesquisadores para descobrir e submeter os mesmos problemas. Esses relatórios adicionaram mais trabalho de revisão. As submissões duplicadas diminuíram à medida que a triagem da equipe se atualizava, segundo seu relato.

Bhatt também diz que a equipe acredita que quase todos os relatórios do concurso foram descobertos ou escritos por um agente. Ele sugere que pesquisadores usando modelos semelhantes convergiram para os mesmos bugs.

O CryptoSlate relatou um problema de risco de filing semelhante em agosto durante a competição separada Alpenglow da Anza, que exigia uma queima de 0,5 SOL por relatório. A retrospectiva da Firedancer adiciona uma lição operacional específica: seu próprio backlog de revisão ajudou a manter abertas as oportunidades para descobertas repetidas.

Em seu relato de 26 de janeiro sobre o fechamento do bounty do curl, Daniel Stenberg rejeitou cobrar dos pesquisadores naquele momento, em parte devido a atritos administrativos e ao risco de desencorajar repórteres legítimos. Ele anunciou que o bounty pararia em 31 de janeiro, enquanto os relatórios de segurança privados continuariam.

O teste útil é o que resulta em uma correção

A retrospectiva de Bhatt descreve uma descoberta de agendamento de alta severidade que poderia fazer a Firedancer executar transações em uma ordem diferente e divergir de outros clientes validador.

A Firedancer mudou partes desse processo. Bhatt diz que a equipe está documentando invariantes do sistema de forma mais explícita para auditores automatizados. O formulário ao vivo permite 3.000 caracteres cada para a descrição da vulnerabilidade, passos de reprodução, impacto e prova de conceito, com um resumo de 1.024 caracteres. Suposições mais claras podem ajudar os pesquisadores a avaliar um bug suspeito; instruções de reprodução concisas podem ajudar os revisores a agir sobre isso.

Os termos atuais também dizem aos pesquisadores para esperar contato através de um Aviso de Segurança do GitHub dentro de 96 horas após a submissão e confirmação da queima necessária. Essa expectativa cobre o contato inicial. Não fornece um prazo para validar o ataque, preparar um patch ou implantar uma correção.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.