Firedancer richiede di bruciare 1 SOL per le ricompense bug bounty, anche per le segnalazioni duplicate

Firedancer, il software indipendente di Jump Crypto per i validator di Solana, richiede ai ricercatori di bruciare 1 SOL per poter accedere alle ricompense, secondo le condizioni in vigore dal 18 ottobre. Il burn non è rimborsabile per le segnalazioni duplicate, non valide o fuori ambito, anche quando una segnalazione duplicata individua una vulnerabilità autentica. Il modulo di invio specifica un trasferimento irreversibile a un wallet di incenerimento, anziché un pagamento che generi ricavi da commissioni per Jump. Le segnalazioni inviate senza burn potrebbero essere esaminate, ma non possono dare diritto a ricompense.

Le condizioni attuali in genere premiano la prima segnalazione relativa a un problema o a una variante simile, pur consentendo pagamenti discrezionali per le segnalazioni successive. I ricercatori che segnalano il problema in seguito possono avere diritto a una ricompensa se dimostrano un impatto maggiore o che la vulnerabilità interessa un'area più ampia. Una segnalazione precedente incompleta, o basata su ipotesi errate, può consentire a una segnalazione successiva di diventare la scoperta principale. Il team può inoltre ricompensare i ricercatori per contributi successivi di alta qualità.

Le condizioni classificano come problemi noti i materiali pertinenti presenti nei repository pubblici, compresi commenti nel codice, pull request e modifiche di mitigazione nei branch pubblici. I problemi di cui è dimostrabile la conoscenza privata prima dell'invio sono valutati caso per caso. Le regole di base per le prove di concetto richiedono un attacco riproducibile e completo, dall'inizio alla fine, che dimostri un impatto pratico su un branch e una configurazione ammessi, con specifiche eccezioni discrezionali.

Le vulnerabilità ammissibili danno diritto al doppio della ricompensa standard fino al 20 novembre 2026, mentre quelle ammissibili relative al consenso Alpenglow danno diritto al triplo. Le vulnerabilità limitate al consenso pre-Alpenglow possono ricevere solo pagamenti discrezionali sostanzialmente ridotti. La scadenza di novembre pone fine ai pagamenti maggiorati, non al programma di bug bounty. La versione v26.10.2 del 14 ottobre abilita il supporto ad Alpenglow per impostazione predefinita nelle configurazioni di testnet e devnet.

Il precedente concorso di Firedancer su Immunefi si è svolto dal 9 aprile al 9 maggio 2026 e consentiva esplicitamente di ricevere ricompense per duplicati di vulnerabilità ancora non corrette. La divulgazione pubblica di una correzione rendeva non ammissibili le segnalazioni successive, mentre quelle inviate prima della correzione mantenevano il diritto a una ricompensa. Ishan Bhatt ha scritto nella retrospettiva del 16 ottobre di Jump Crypto, «Hardening Firedancer», che il concorso prevedeva un costo di 100 dollari per ogni segnalazione. Bhatt ha detto che ogni ricercatore poteva inviare una sola segnalazione al giorno. Le condizioni di ottobre introducono una struttura di pagamento diversa e limitano l'ammissibilità dei duplicati più di quanto facesse il concorso primaverile.

Bhatt ha riferito che 162 ricercatori hanno effettuato 809 invii durante il concorso. Ha conteggiato 127 segnalazioni di sicurezza distinte, escludendo la categoria «insight» del concorso. Secondo Bhatt, i duplicati rappresentavano quasi la metà delle segnalazioni valide, un insieme più ampio delle 127 segnalazioni distinte che non rientravano nella categoria «insight». Bhatt ha riferito una media di circa 26 invii al giorno e un arretrato massimo di 299 segnalazioni aperte. Ha detto che circa l'80% dei duplicati è arrivato nei tre giorni successivi alla segnalazione principale.

Bhatt ha attribuito in parte le scoperte ripetute ai ritardi nell'esame delle segnalazioni, che lasciavano irrisolte o non divulgate quelle precedenti, generando ulteriori invii e altro lavoro di revisione. Ha detto che i duplicati sono diminuiti man mano che il team recuperava terreno nella fase di triage. Bhatt ha affermato che il team ritiene che gli agenti abbiano scoperto o scritto quasi tutte le segnalazioni del concorso. Ha ipotizzato che ricercatori che usavano modelli simili abbiano individuato le stesse vulnerabilità.

Una competizione separata di Anza su Alpenglow richiedeva ai ricercatori di bruciare 0,5 SOL per ogni segnalazione e ha sollevato ad agosto una questione analoga sui rischi dell'invio. Nel suo resoconto del 26 gennaio sulla chiusura del programma di bug bounty di curl, Daniel Stenberg ha respinto l'idea di far pagare i ricercatori in quella fase, in parte per gli oneri amministrativi e il possibile effetto deterrente sui segnalanti legittimi. Stenberg ha annunciato che il programma si sarebbe concluso il 31 gennaio, mentre la segnalazione privata di problemi di sicurezza sarebbe proseguita.

Bhatt ha descritto una vulnerabilità ad alta gravità nella pianificazione che avrebbe potuto indurre Firedancer a eseguire le transazioni in una sequenza diversa e a divergere dagli altri client validator. Ha detto che il team sta rendendo più espliciti nella documentazione gli invarianti di sistema, per agevolare gli auditor automatizzati. Il modulo di invio attivo consente di inserire al massimo 3.000 caratteri per ciascuno dei campi relativi alla descrizione della vulnerabilità, alle istruzioni per riprodurla, all'impatto e alla prova di concetto. Il modulo consente inoltre un riepilogo di 1.024 caratteri. Ipotesi più chiare possono aiutare i ricercatori a valutare le vulnerabilità sospette, mentre istruzioni concise per riprodurle possono aiutare i revisori a rispondere.

Le condizioni attuali prevedono un primo contatto tramite un avviso di sicurezza GitHub entro 96 ore dall'invio e dalla conferma del burn richiesto. Le 96 ore riguardano solo il primo contatto e non fissano scadenze per la convalida dell'attacco, la preparazione di una patch o la distribuzione di una correzione.