Firedancer mensyaratkan burn 1 SOL untuk bounty bug, termasuk laporan duplikat

Firedancer, perangkat lunak validator Solana independen milik Jump Crypto, mensyaratkan peneliti melakukan burn 1 SOL agar memenuhi syarat menerima bounty berdasarkan ketentuan yang berlaku mulai 18 Oktober. Burn tidak dapat dikembalikan untuk laporan duplikat, tidak valid, atau di luar cakupan, bahkan ketika laporan duplikat mengidentifikasi kerentanan nyata. Formulir pengiriman menetapkan transfer permanen ke dompet pembakaran, bukan pembayaran yang menghasilkan pendapatan biaya bagi Jump. Laporan yang dikirim tanpa burn mungkin tetap ditinjau, tetapi tidak memenuhi syarat untuk menerima imbalan.

Ketentuan saat ini umumnya memberikan imbalan kepada pengiriman paling awal yang mencakup suatu masalah atau varian serupa, tetapi memungkinkan pembayaran untuk laporan berikutnya berdasarkan pertimbangan tim. Peneliti yang melapor belakangan dapat memenuhi syarat dengan membuktikan dampak yang lebih besar atau menunjukkan bahwa kerentanan tersebut memengaruhi area yang lebih luas. Pengiriman lebih awal yang tidak lengkap, atau asumsi keliru yang mendasarinya, dapat membuat laporan berikutnya menjadi temuan utama. Tim juga dapat memberi kompensasi kepada peneliti atas pekerjaan lanjutan berkualitas tinggi.

Ketentuan tersebut menggolongkan materi relevan di repositori publik sebagai masalah yang telah diketahui, termasuk komentar kode, pull request, dan perubahan mitigasi di cabang publik. Masalah yang terbukti diketahui secara privat sebelum laporan dikirim akan dipertimbangkan secara individual. Aturan dasar bukti konsep mensyaratkan serangan ujung ke ujung yang dapat direproduksi dan menunjukkan dampak praktis pada cabang serta konfigurasi yang diizinkan, dengan pengecualian tertentu berdasarkan pertimbangan tim.

Temuan yang memenuhi syarat mendapat imbalan dua kali lipat dari standar hingga 20 November 2026, sementara temuan konsensus Alpenglow yang memenuhi syarat mendapat imbalan tiga kali lipat. Temuan yang hanya terkait konsensus pra-Alpenglow hanya memenuhi syarat untuk pembayaran berdasarkan pertimbangan tim yang jauh lebih rendah. Tenggat November mengakhiri pembayaran tambahan, bukan program bounty. Rilis 14 Oktober, v26.10.2, mengaktifkan dukungan Alpenglow secara default dalam konfigurasi testnet dan devnet.

Kontes Firedancer sebelumnya di Immunefi berlangsung dari 9 April hingga 9 Mei 2026, dan secara eksplisit mengizinkan imbalan untuk laporan duplikat atas kerentanan yang belum diperbaiki. Pengungkapan publik atas perbaikan membuat laporan berikutnya tidak memenuhi syarat, sedangkan laporan yang dikirim sebelum perbaikan tetap memenuhi syarat. Ishan Bhatt menulis dalam ulasan retrospektif Jump Crypto pada 16 Oktober, Hardening Firedancer, bahwa kontes itu mengenakan biaya 100 dolar AS untuk setiap laporan. Bhatt mengatakan setiap peneliti hanya dapat mengirim satu laporan per hari. Ketentuan Oktober memperkenalkan struktur pembayaran berbeda dan lebih membatasi kelayakan laporan duplikat dibandingkan kontes pada musim semi.

Bhatt melaporkan bahwa 162 peneliti mengirim 809 laporan selama kontes. Bhatt menghitung 127 laporan keamanan yang berbeda, tidak termasuk kategori insight dalam kontes. Bhatt mengatakan laporan duplikat mencakup hampir separuh dari laporan valid, yakni kelompok yang lebih luas daripada 127 laporan berbeda yang tidak termasuk kategori insight. Bhatt melaporkan sekitar 26 laporan per hari dan jumlah tertinggi 299 laporan terbuka yang menumpuk. Bhatt mengatakan sekitar 80% laporan duplikat masuk dalam tiga hari setelah laporan utama.

Bhatt sebagian mengaitkan temuan berulang dengan keterlambatan peninjauan yang membuat temuan sebelumnya belum terselesaikan atau belum diungkapkan, sehingga memicu pengiriman laporan tambahan dan pekerjaan peninjauan lebih lanjut. Bhatt mengatakan jumlah laporan duplikat menurun seiring tim mengejar ketertinggalan dalam triase. Bhatt mengatakan tim meyakini agen menemukan atau menulis hampir setiap laporan kontes. Bhatt menduga peneliti yang menggunakan model serupa mengidentifikasi kerentanan yang sama.

Kompetisi Alpenglow terpisah yang diselenggarakan Anza mensyaratkan peneliti melakukan burn 0,5 SOL per laporan dan pada Agustus memunculkan persoalan serupa terkait risiko pengiriman laporan. Dalam keterangannya pada 26 Januari mengenai penutupan program bounty curl, Daniel Stenberg menolak mengenakan biaya kepada peneliti pada saat itu, sebagian karena beban administratif dan kemungkinan menghalangi pelapor yang sah. Stenberg mengumumkan bounty akan berakhir pada 31 Januari, sementara pelaporan keamanan secara privat akan berlanjut.

Bhatt menjelaskan kerentanan penjadwalan berkeparahan tinggi yang dapat membuat Firedancer mengeksekusi transaksi dalam urutan berbeda dan menyimpang dari klien validator lain. Bhatt mengatakan tim sedang memperjelas invarian sistem dalam dokumentasi untuk auditor otomatis. Formulir pengiriman yang aktif mengizinkan masing-masing 3.000 karakter untuk deskripsi kerentanan, petunjuk reproduksi, dampak, dan bukti konsep. Formulir itu secara terpisah mengizinkan ringkasan sepanjang 1.024 karakter. Asumsi yang lebih jelas dapat membantu peneliti mengevaluasi dugaan kerentanan, sementara petunjuk reproduksi yang ringkas dapat membantu peninjau merespons.

Ketentuan saat ini menetapkan ekspektasi bahwa kontak akan dilakukan melalui GitHub Security Advisory dalam 96 jam setelah laporan dikirim dan burn yang diwajibkan dikonfirmasi. Ekspektasi 96 jam itu hanya terkait kontak awal dan tidak menetapkan tenggat untuk validasi serangan, persiapan patch, atau penerapan perbaikan.