Firedancer exige queima de 1 SOL para recompensas por bugs, inclusive em relatos duplicados

A Firedancer, software independente de validador da Solana desenvolvido pela Jump Crypto, exige que pesquisadores queimem 1 SOL para se qualificar a recompensas, segundo termos vigentes a partir de 18 de outubro. A queima não pode ser reembolsada por relatos duplicados, inválidos ou fora do escopo, mesmo quando um relato duplicado identifica uma vulnerabilidade genuína. O formulário de envio especifica uma transferência irreversível para uma carteira de incineração, em vez de um pagamento que gere receita de taxas para a Jump. Relatos enviados sem a queima podem ser analisados, mas não podem se qualificar a recompensas.

Em geral, os termos atuais recompensam o primeiro envio que aborde um problema ou uma variante semelhante, mas permitem pagamentos discricionários por relatos posteriores. Pesquisadores que enviem relatos depois podem se qualificar ao demonstrar um impacto maior ou que a vulnerabilidade afeta uma área mais ampla. Um envio anterior incompleto, ou premissas incorretas que o fundamentem, pode permitir que um relato posterior se torne o achado principal. A equipe também pode recompensar pesquisadores por trabalhos posteriores de alta qualidade.

Os termos classificam como problemas conhecidos os materiais relevantes em repositórios públicos, incluindo comentários no código, pull requests e alterações de mitigação em branches públicos. Problemas comprovadamente conhecidos em privado antes do envio são avaliados individualmente. As regras básicas para provas de conceito exigem um ataque reproduzível, de ponta a ponta, que demonstre impacto prático em uma branch e configuração permitidas, com exceções discricionárias especificadas.

Achados elegíveis recebem o dobro da recompensa padrão até 20 de novembro de 2026, enquanto achados elegíveis relacionados ao consenso Alpenglow recebem o triplo da recompensa padrão. Achados limitados ao consenso anterior ao Alpenglow só se qualificam a pagamentos discricionários substancialmente menores. O prazo de novembro encerra os pagamentos ampliados, não o programa de recompensas. A versão v26.10.2, lançada em 14 de outubro, habilita o suporte ao Alpenglow por padrão nas configurações de testnet e devnet.

O concurso anterior da Firedancer na Immunefi ocorreu de 9 de abril a 9 de maio de 2026 e permitia explicitamente recompensas por relatos duplicados de vulnerabilidades ainda não corrigidas. A divulgação pública de uma correção invalidava relatos posteriores, enquanto os envios anteriores à correção continuavam elegíveis. Ishan Bhatt escreveu na retrospectiva de 16 de outubro da Jump Crypto, Hardening Firedancer, que o concurso cobrava US$ 100 por relato. Bhatt disse que cada pesquisador podia enviar apenas um relato por dia. Os termos de outubro introduzem uma estrutura de pagamento diferente e restringem a elegibilidade de relatos duplicados mais do que o concurso da primavera.

Bhatt informou que 162 pesquisadores fizeram 809 envios durante o concurso. Bhatt contabilizou 127 envios distintos de segurança, excluindo a categoria de insights do concurso. Bhatt disse que os duplicados representaram quase metade dos envios válidos, um universo mais amplo do que os 127 envios distintos que não eram da categoria de insights. Bhatt informou uma média de cerca de 26 envios por dia e um pico de 299 relatos em aberto na fila. Bhatt disse que cerca de 80% dos duplicados chegaram nos três dias após o envio principal.

Bhatt atribuiu parcialmente as descobertas repetidas a atrasos na análise, que deixaram achados anteriores sem resolução ou divulgação, gerando novos envios e trabalho adicional de análise. Bhatt disse que os envios duplicados diminuíram à medida que a equipe avançou na triagem. Bhatt disse que a equipe acredita que agentes descobriram ou escreveram quase todos os relatos do concurso. Bhatt sugeriu que pesquisadores que usaram modelos semelhantes identificaram as mesmas vulnerabilidades.

Uma competição separada da Anza sobre o Alpenglow exigiu que pesquisadores queimassem 0,5 SOL por relato e levantou uma questão semelhante sobre os riscos do envio em agosto. O relato de 26 de janeiro de Daniel Stenberg sobre o encerramento do programa de recompensas do curl rejeitou a cobrança de pesquisadores naquele momento, em parte devido aos encargos administrativos e à possibilidade de desestimular relatos legítimos. Stenberg anunciou que o programa de recompensas terminaria em 31 de janeiro, enquanto os relatos privados de segurança continuariam.

Bhatt descreveu uma vulnerabilidade de alta gravidade no escalonamento que poderia fazer a Firedancer executar transações em uma sequência diferente e divergir de outros clientes validadores. Bhatt disse que a equipe está tornando os invariantes do sistema mais explícitos na documentação para auditores automatizados. O formulário de envio ativo permite 3.000 caracteres para cada um dos campos de descrição da vulnerabilidade, instruções de reprodução, impacto e prova de conceito. O formulário permite separadamente um resumo de 1.024 caracteres. Premissas mais claras podem ajudar pesquisadores a avaliar vulnerabilidades suspeitas, enquanto instruções concisas de reprodução podem ajudar os revisores a responder.

Os termos atuais estabelecem a expectativa de contato por meio de um Aviso de Segurança do GitHub em até 96 horas após o envio e a confirmação da queima exigida. A expectativa de 96 horas diz respeito apenas ao contato inicial e não estabelece prazo para validar o ataque, preparar uma correção ou implantá-la.