Firedancer, da Solana, exige queima de 1 SOL para relatos de bugs em meio a spam assistido por IA

A equipe por trás do software Firedancer, da Solana, agora exige que pesquisadores queimem 1 SOL, no valor de cerca de US$ 100, para cada relato de bug. A exigência vem após um aumento nas submissões assistidas por IA e busca reduzir o spam para que os engenheiros possam dedicar mais tempo à investigação de vulnerabilidades genuínas. Queimar os tokens os remove permanentemente de circulação.

Os termos atualizados na segunda-feira tornam o custo de envio não reembolsável, inclusive para relatos inválidos, descobertas fora do escopo do programa e duplicatas. Pesquisadores não podem receber recompensas por relatos enviados sem a queima de tokens. A nova plataforma de envio também limita cada seção principal de um relato a 3.000 caracteres.

A Jump Crypto está aumentando temporariamente as recompensas junto com a exigência de envio. Descobertas elegíveis recebem o dobro da recompensa padrão até 20 de novembro. Bugs específicos do Alpenglow, o novo sistema de votação da Solana, recebem o triplo da recompensa padrão durante esse período. Vulnerabilidades críticas no Alpenglow podem render pagamentos de até US$ 300.000.

A empresa de trading Jump Crypto desenvolveu o Firedancer como alternativa ao Agave, o principal software usado por computadores que validam e processam transações na Solana. Uma vulnerabilidade grave pode interromper o processamento de pagamentos ou fazer esses computadores divergirem sobre os saldos das contas, prejudicando negociações e transferências. Centenas de relatos duplicados ou inutilizáveis desviam os engenheiros da investigação e correção dessas vulnerabilidades.

Uma competição de auditoria de US$ 1 milhão, realizada de 9 de abril a 9 de maio, recebeu 809 relatos de 162 pesquisadores. A competição resultou em 127 descobertas de segurança distintas, após a exclusão de observações que não podiam ser exploradas. As duplicatas representaram quase metade das submissões válidas. A Jump acredita que agentes de IA contribuíram para descobrir ou redigir quase todas as submissões. Ishan Bhatt, da Jump, escreveu em uma análise de 16 de outubro que a IA havia reduzido o custo de descobrir bugs, enquanto avaliar relatos continuava caro.

Os engenheiros ainda precisavam reproduzir os problemas relatados e determinar se os ataques sugeridos eram viáveis. Alguns pesquisadores identificaram aparentes falhas sem levar em conta as proteções existentes em outras partes do software. O acúmulo de relatos pendentes de análise chegou ao pico de 299. Análises mais lentas levaram outros pesquisadores a redescobrir bugs relatados anteriormente que ainda não haviam sido corrigidos ou divulgados. Cerca de 80% das submissões duplicadas chegaram nos três dias seguintes ao relato inicial.

A competição já exigia uma taxa de envio de US$ 100 e limitava cada pesquisador a um relato por dia. A Jump afirma que as taxas desestimulam pesquisadores a enviar numerosas descobertas especulativas e deixar a validação a cargo dos engenheiros da empresa. Ainda assim, a competição identificou vulnerabilidades graves. Uma falha de escalonamento poderia fazer o Firedancer processar transações na sequência errada e divergir de outros validadores da Solana quanto ao estado resultante da rede.