Firedancer ทำให้ผู้ล่าหัวกะทิต้องเผา 1 SOL แม้จะเป็นรายงานบั๊กซ้ำ

Firedancer ซอฟต์แวร์ผู้ตรวจสอบอิสระของ Jump Crypto สำหรับ Solana ต้องการให้นักวิจัยเผา 1 SOL เพื่อมีสิทธิ์ได้รับรางวัลบั๊กภายใต้เงื่อนไขที่มีผลตั้งแต่วันที่ 18 ตุลาคม การเผานั้นไม่สามารถคืนเงินได้แม้ว่ารายงานจะระบุช่องโหว่ที่แท้จริงที่มีคนอื่นส่งมาก่อนหน้านี้

การเปลี่ยนแปลงนี้ทำให้เส้นทางการชำระเงินสำหรับผู้ที่ค้นพบในภายหลังแคบลงเมื่อเปรียบเทียบกับการแข่งขันตรวจสอบในฤดูใบไม้ผลิของ Firedancer ในการทบทวนเมื่อวันที่ 16 ตุลาคมสำหรับ Jump Crypto, Ishan Bhatt ระบุว่า ปัญหารายงานซ้ำเกิดจากความล่าช้าของการตรวจสอบของทีม: นักวิจัยยังคงค้นพบบั๊กในขณะที่รายงานก่อนหน้านี้รอการดำเนินการ

เงื่อนไขปัจจุบันโดยทั่วไปจะมอบรางวัลให้กับการส่งครั้งแรกเกี่ยวกับปัญหาเดียวกันหรือรูปแบบที่คล้ายกัน ในขณะที่ยังคงรักษารางวัลตามดุลยพินิจสำหรับรายงานในภายหลังบางฉบับ

บั๊กจริงยังคงทำให้ผู้ค้นพบต้องจ่ายเงิน

การแข่งขัน Immunefi ก่อนหน้านี้ของ Firedancer จัดขึ้นระหว่างวันที่ 9 เมษายนถึง 9 พฤษภาคม 2026 กฎที่เผยแพร่ของมันทำให้รายงานซ้ำของบั๊กที่ยังไม่ได้แก้ไขมีสิทธิ์ได้รับรางวัล เมื่อมีการเปิดเผยการแก้ไขต่อสาธารณะ รายงานใหม่จะไม่มีผล ในขณะที่รายงานที่ส่งมาก่อนการแก้ไขยังคงมีสิทธิ์

นั่นเป็นระบบการส่งที่มีการจ่ายเงินอยู่แล้ว ในการทบทวน Hardening Firedancer เมื่อวันที่ 16 ตุลาคม Bhatt กล่าวว่า การแข่งขันนี้เรียกเก็บเงิน 100 ดอลลาร์ต่อรายงานและกำหนดขีดจำกัดการส่งหนึ่งครั้งต่อวันต่อผู้วิจัย การพัฒนาในเดือนตุลาคมนี้เป็นโครงสร้างค่าธรรมเนียมที่แตกต่างกันซึ่งมีคุณสมบัติซ้ำที่แคบลง

นักวิจัยในภายหลังอาจได้รับรางวัลโดยการแสดงผลกระทบที่มากขึ้นหรือพื้นที่ที่ได้รับผลกระทบที่กว้างขึ้น การส่งครั้งแรกที่ไม่สมบูรณ์ หรือการส่งที่อิงจากสมมติฐานที่ไม่ถูกต้อง อาจทำให้รายงานในภายหลังกลายเป็นการค้นพบหลัก ทีมงานยังสามารถให้รางวัลสำหรับงานที่มีคุณภาพสูงในภายหลัง

คุณสมบัติยังขยายไปเกินสถานะซ้ำ เงื่อนไขจะถือว่าวัสดุในที่สาธารณะที่เกี่ยวข้อง รวมถึงความคิดเห็นในโค้ด, คำขอการดึง และการเปลี่ยนแปลงการบรรเทาในสาขาสาธารณะ เป็นปัญหาที่ทราบ ปัญหาที่รู้จักในเอกสารส่วนตัวที่พิสูจน์ได้ว่าเกิดขึ้นก่อนรายงานจะได้รับการพิจารณาเป็นกรณี ๆ ไป ข้อกำหนดพื้นฐานสำหรับการพิสูจน์แนวคิดเรียกร้องให้มีการโจมตีแบบ end-to-end ที่สามารถทำซ้ำได้ต่อสาขาและการกำหนดค่าที่อนุญาต แสดงผลกระทบที่เป็นจริง โดยอยู่ภายใต้ข้อยกเว้นตามดุลยพินิจที่กำหนด

แบบฟอร์มการส่งอธิบายการโอนที่ไม่สามารถย้อนกลับไปยังกระเป๋าเงินที่เผาไหม้ เงื่อนไขยังทำให้การเผาไม่สามารถคืนเงินได้สำหรับรายงานที่ไม่ถูกต้องและอยู่นอกขอบเขต นี่คือค่าใช้จ่ายที่นักวิจัยต้องเผา Jump ไม่เก็บเป็นรายได้ค่าธรรมเนียม รายงานที่ไม่มีการเผาอาจได้รับการตรวจสอบหรือไม่ก็ได้ แต่ไม่สามารถรับรางวัลตามเงื่อนไขได้

Firedancer ยังคงมีรางวัลให้และเพิ่มขึ้นชั่วคราว รางวัลที่มีคุณสมบัติจะได้รับเงินสองเท่าจากการจ่ายมาตรฐานจนถึงวันที่ 20 พฤศจิกายน 2026 หรือสามเท่าจากการจ่ายมาตรฐานสำหรับการค้นพบฉันทามติ Alpenglow การค้นพบที่มีผลเฉพาะต่อฉันทามติ Alpenglow ก่อนหน้านี้จะได้รับรางวัลตามดุลยพินิจที่ลดลงอย่างมาก กำหนดเวลาจะสิ้นสุดการเพิ่มขึ้น แทนที่จะเป็นรางวัลเอง

การเปิดตัว v26.10.2 เมื่อวันที่ 14 ตุลาคมรวมถึงการสนับสนุน Alpenglow ที่เปิดใช้งานในการกำหนดค่าทดสอบและ devnet เริ่มต้น

คิวซ้ำมีปัญหาการตรวจสอบ

บัญชีของ Bhatt เกี่ยวกับการแข่งขันฤดูใบไม้ผลิอธิบายว่าทำไมการเปลี่ยนแปลงการชำระเงินจึงเกินกว่าการป้องกันสแปม

เขารายงานการส่งทั้งหมด 809 รายการจากนักวิจัย 162 คน ส่งผลให้มีการส่งความปลอดภัยที่ไม่ซ้ำกัน 127 รายการนอกหมวดหมู่ข้อมูลเชิงลึกของการแข่งขัน เกือบครึ่งหนึ่งของการส่งที่ถูกต้องเป็นการส่งซ้ำ ตัวเลข 127 นับการส่งที่ไม่ซ้ำกันนอกเหนือจากข้อมูลเชิงลึก ส่วนแบ่งการส่งซ้ำอ้างอิงจากกลุ่มการส่งที่ถูกต้องที่กว้างขึ้น

ตัวเลขที่เปิดเผยมากขึ้นของเขาเกี่ยวกับคิว โดยประมาณ 26 การส่งต่อวัน ยอดคงค้างสูงสุดอยู่ที่ 299 รายงานที่เปิดอยู่ ประมาณ 80% ของการส่งซ้ำมาถึงมากกว่าสามวันหลังจากรายงานหลัก เขากล่าว

Bhatt อธิบายถึงวงจรการตอบกลับ ผลการค้นพบก่อนหน้านี้ยังคงไม่ได้รับการแก้ไขหรือเปิดเผยในขณะที่การตรวจสอบล่าช้า ทำให้นักวิจัยคนอื่นค้นพบและส่งปัญหาเดียวกัน รายงานเหล่านั้นเพิ่มงานตรวจสอบมากขึ้น การส่งซ้ำลดลงเมื่อการคัดกรองของทีมตามทัน ตามบัญชีของเขา

Bhatt ยังกล่าวว่าทีมเชื่อว่ารายงานการแข่งขันเกือบทุกฉบับถูกค้นพบหรือเขียนโดยตัวแทน เขาชี้ให้เห็นว่านักวิจัยที่ใช้โมเดลที่คล้ายกันมักจะพบข้อบกพร่องเดียวกัน

CryptoSlate รายงานปัญหาความเสี่ยงในการยื่นที่คล้ายกันในเดือนสิงหาคมระหว่างการแข่งขัน Alpenglow แยกต่างหากของ Anza ซึ่งต้องการการเผา 0.5 SOL ต่อรายงาน การทบทวนย้อนหลังของ Firedancer เพิ่มบทเรียนการดำเนินงานเฉพาะ: ยอดคงค้างในการตรวจสอบของตนเองช่วยเปิดโอกาสในการค้นพบซ้ำ

ในบัญชีของเขาเมื่อวันที่ 26 มกราคมเกี่ยวกับการปิดรางวัลของ curl Daniel Stenberg ปฏิเสธที่จะเรียกเก็บเงินจากนักวิจัยในขณะนั้นส่วนหนึ่งเนื่องจากความขัดแย้งทางการบริหารและความเสี่ยงในการป้องกันผู้รายงานที่ถูกต้อง เขาประกาศว่ารางวัลจะหยุดในวันที่ 31 มกราคมในขณะที่การรายงานความปลอดภัยส่วนตัวยังคงดำเนินต่อไป

การทดสอบที่มีประโยชน์คือสิ่งที่นำไปสู่การแก้ไข

การทบทวนย้อนหลังของ Bhatt อธิบายถึงการค้นพบการจัดตารางที่มีความรุนแรงสูงซึ่งอาจทำให้ Firedancer ดำเนินการธุรกรรมในลำดับที่แตกต่างกันและแตกต่างจากลูกค้าตรวจสอบอื่น ๆ

Firedancer ได้เปลี่ยนส่วนหนึ่งของกระบวนการนั้น Bhatt กล่าวว่า ทีมกำลังบันทึกความไม่เปลี่ยนแปลงของระบบอย่างชัดเจนมากขึ้นสำหรับผู้ตรวจสอบอัตโนมัติ รูปแบบสดอนุญาตให้มี 3,000 ตัวอักษรสำหรับคำอธิบายช่องโหว่ ขั้นตอนการทำซ้ำ ผลกระทบ และหลักฐานแนวคิด โดยมีสรุป 1,024 ตัวอักษร สมมติฐานที่ชัดเจนสามารถช่วยนักวิจัยประเมินข้อบกพร่องที่สงสัยได้; คำแนะนำในการทำซ้ำที่กระชับสามารถช่วยให้ผู้ตรวจสอบดำเนินการตามนั้น

ข้อกำหนดปัจจุบันยังบอกนักวิจัยให้คาดหวังการติดต่อผ่าน GitHub Security Advisory ภายใน 96 ชั่วโมงหลังจากการส่งและการยืนยันการเผาที่จำเป็น ความคาดหวังนั้นครอบคลุมการติดต่อเบื้องต้น ไม่ได้กำหนดเส้นตายสำหรับการตรวจสอบการโจมตี การเตรียมแพตช์ หรือการปรับใช้การแก้ไข

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ