Firedancer exige de brûler 1 SOL pour être éligible aux primes, y compris pour les signalements de doublons

Firedancer, le logiciel indépendant de validation de Solana développé par Jump Crypto, exige des chercheurs qu'ils brûlent 1 SOL pour être éligibles aux primes, selon des conditions entrées en vigueur le 18 octobre. Le burn ne peut être remboursé pour les signalements de doublons, invalides ou hors périmètre, même lorsqu'un doublon révèle une vulnérabilité réelle. Le formulaire de signalement précise que le transfert, irréversible, est effectué vers un portefeuille de destruction, et non au titre d'un paiement générant des revenus de frais pour Jump. Les signalements envoyés sans burn peuvent être examinés, mais ne peuvent pas donner droit à une prime.

Les conditions actuelles récompensent généralement le premier signalement portant sur un problème ou une variante similaire, tout en laissant la possibilité de rémunérer les signalements ultérieurs à la discrétion de l'équipe. Les chercheurs qui signalent le problème plus tard peuvent être éligibles s'ils établissent un impact plus important ou démontrent que la vulnérabilité touche un périmètre plus large. Un premier signalement incomplet, ou reposant sur des hypothèses erronées, peut permettre à un signalement ultérieur de devenir le signalement principal. L'équipe peut également rémunérer les chercheurs pour des travaux ultérieurs de grande qualité.

Les conditions classent comme problèmes connus les éléments pertinents présents dans les dépôts publics, notamment les commentaires de code, les demandes de fusion et les modifications d'atténuation sur les branches publiques. Les problèmes dont il est démontré qu'ils étaient connus de manière privée avant leur signalement sont examinés au cas par cas. Les règles de base relatives aux preuves de concept exigent une attaque reproductible de bout en bout démontrant un impact concret sur une branche et une configuration autorisées, sous réserve d'exceptions laissées à la discrétion de l'équipe.

Les vulnérabilités éligibles donnent droit au double de la prime standard jusqu'au 20 novembre 2026, tandis que les vulnérabilités éligibles liées au consensus Alpenglow donnent droit au triple de la prime standard. Les vulnérabilités touchant uniquement le consensus antérieur à Alpenglow ne peuvent donner lieu qu'à des paiements discrétionnaires nettement réduits. La date limite de novembre met fin aux primes majorées, et non au programme de bug bounty. La version du 14 octobre, v26.10.2, active par défaut la prise en charge d'Alpenglow dans les configurations de testnet et de devnet.

Le précédent concours d'Immunefi consacré à Firedancer s'est déroulé du 9 avril au 9 mai 2026 et autorisait explicitement les primes pour les doublons de vulnérabilités qui n'avaient pas encore été corrigées. La divulgation publique d'une correction rendait les signalements ultérieurs irrecevables, tandis que ceux envoyés avant la correction restaient éligibles. Dans son bilan du 16 octobre, intitulé Hardening Firedancer, Ishan Bhatt, de Jump Crypto, a écrit que le concours facturait 100 dollars par signalement. Bhatt a indiqué que chaque chercheur ne pouvait envoyer qu'un signalement par jour. Les conditions d'octobre introduisent une structure de paiement différente et restreignent davantage l'éligibilité des doublons que ne le faisait le concours du printemps.

Bhatt a indiqué que 162 chercheurs avaient envoyé 809 signalements pendant le concours. Il a dénombré 127 signalements de sécurité distincts, hors catégorie « informations ». Bhatt a déclaré que les doublons représentaient près de la moitié des signalements valides, un ensemble plus vaste que les 127 signalements distincts hors catégorie « informations ». Il a fait état d'environ 26 signalements par jour et d'un arriéré maximal de 299 signalements non traités. Selon lui, environ 80 % des doublons sont arrivés dans les trois jours suivant le signalement principal.

Bhatt a en partie attribué la répétition des découvertes aux délais d'examen, qui laissaient des problèmes déjà signalés sans résolution ni divulgation, entraînant de nouveaux signalements et davantage de travail d'examen. Il a indiqué que les doublons avaient diminué à mesure que l'équipe rattrapait son retard dans le triage. Bhatt a déclaré que l'équipe estime que des agents ont découvert ou rédigé presque tous les signalements du concours. Il a avancé que des chercheurs utilisant des modèles similaires avaient identifié les mêmes vulnérabilités.

Un concours distinct d'Anza consacré à Alpenglow exigeait des chercheurs qu'ils brûlent 0,5 SOL par signalement et a soulevé en août une question similaire sur le risque lié aux signalements. Dans un message du 26 janvier, Daniel Stenberg, qui a annoncé la clôture du programme de primes de curl, a rejeté l'idée de faire payer les chercheurs à ce stade, notamment en raison des contraintes administratives et du risque de dissuader des personnes de signaler des problèmes de bonne foi. Stenberg a annoncé que le programme de primes prendrait fin le 31 janvier, tandis que les signalements de sécurité privés se poursuivraient.

Bhatt a décrit une vulnérabilité de gravité élevée liée à l'ordonnancement, qui pouvait amener Firedancer à exécuter les transactions dans un ordre différent et à diverger des autres clients validateurs. Il a indiqué que l'équipe rendait les invariants du système plus explicites dans la documentation destinée aux auditeurs automatisés. Le formulaire de signalement en ligne autorise 3 000 caractères chacun pour la description de la vulnérabilité, les instructions de reproduction, l'impact et la preuve de concept. Le formulaire autorise séparément un résumé de 1 024 caractères. Des hypothèses plus claires peuvent aider les chercheurs à évaluer les vulnérabilités présumées, tandis que des instructions de reproduction concises peuvent aider les examinateurs à réagir.

Les conditions actuelles prévoient un premier contact par l'intermédiaire d'un avis de sécurité GitHub dans les 96 heures suivant le signalement et la confirmation du burn requis. Ce délai de 96 heures ne concerne que le premier contact et ne fixe aucune échéance pour la validation de l'attaque, la préparation d'un correctif ou le déploiement d'une correction.