Firedancer требует сжигать 1 SOL для участия в программе вознаграждений за ошибки, включая дубликаты

Firedancer — независимое программное обеспечение Jump Crypto для валидаторов Solana — требует от исследователей сжигать 1 SOL, чтобы получить право на вознаграждение, согласно условиям, вступившим в силу 18 октября. Сумма не возвращается за дублирующие, недействительные или не соответствующие условиям программы сообщения, даже если в дубликате описана подлинная уязвимость. Форма подачи заявки предусматривает безвозвратный перевод на кошелек для сжигания, а не платеж, приносящий Jump доход от комиссий. Сообщения без сжигания могут быть рассмотрены, но не дают права на вознаграждение.

Согласно действующим условиям, вознаграждение обычно выплачивается за самую раннюю заявку, описывающую проблему или сходный вариант уязвимости; за последующие сообщения выплаты возможны по усмотрению команды. Исследователи, подавшие заявку позже, могут претендовать на вознаграждение, если докажут более серьезные последствия или покажут, что уязвимость затрагивает более широкую область. Если в более ранней заявке не хватает информации или ее автор исходил из неверных предположений, последующая заявка может стать основным сообщением об уязвимости. Команда также может вознаградить исследователей за качественную последующую работу.

Условия относят к известным проблемам соответствующие материалы в общедоступных репозиториях, включая комментарии в коде, запросы на включение изменений и меры по снижению рисков в публичных ветках. Проблемы, о которых команда достоверно знала в частном порядке до подачи заявки, рассматриваются индивидуально. Базовые требования к подтверждению концепции уязвимости предусматривают воспроизводимую сквозную атаку, демонстрирующую практические последствия на разрешенной ветке и в разрешенной конфигурации; предусмотрены конкретные исключения по усмотрению команды.

За находки, соответствующие условиям программы, до 20 ноября 2026 года выплачивается двойное стандартное вознаграждение, а за соответствующие условиям находки в консенсусе Alpenglow — тройное. За находки, связанные только с консенсусом до Alpenglow, могут выплачиваться лишь существенно сниженные суммы по усмотрению команды. Ноябрьский срок прекращает повышенные выплаты, но не действие программы вознаграждений. Вышедшая 14 октября версия v26.10.2 включает поддержку Alpenglow по умолчанию в конфигурациях testnet и devnet.

Предыдущий конкурс Firedancer на платформе Immunefi проходил с 9 апреля по 9 мая 2026 года и прямо допускал вознаграждения за дубликаты уязвимостей, которые еще не были исправлены. Публичное раскрытие информации об исправлении лишало права на вознаграждение за последующие сообщения, тогда как заявки, поданные до исправления, сохраняли право на него. Ишан Бхатт написал в опубликованном 16 октября обзоре Jump Crypto «Укрепление Firedancer», что за каждое сообщение в рамках конкурса взималась плата в 100 долларов. По словам Бхатта, каждый исследователь мог подавать только одно сообщение в день. Октябрьские условия предусматривают иную структуру платежей и сильнее ограничивают возможность получить вознаграждение за дубликаты, чем весенний конкурс.

Бхатт сообщил, что 162 исследователя подали 809 заявок. По подсчетам Бхатта, без учета категории конкурса Insight было подано 127 отдельных сообщений о проблемах безопасности. Бхатт заявил, что дубликаты составляли почти половину действительных заявок — более широкого числа, чем 127 отдельных сообщений вне категории Insight. По его данным, в среднем поступало около 26 заявок в день, а максимальное число открытых сообщений в очереди достигло 299. Бхатт сообщил, что около 80 % дубликатов поступили в течение трех дней после основного сообщения.

Бхатт отчасти объяснил повторные обнаружения задержками при проверке: ранее найденные уязвимости оставались неподтвержденными или нераскрытыми, что приводило к новым заявкам и дополнительной работе по их рассмотрению. По словам Бхатта, число дубликатов сократилось, когда команда наверстала отставание в первичной проверке заявок. Он также сообщил, что, по мнению команды, агенты обнаружили или составили почти все сообщения о проблемах в рамках конкурса. Бхатт предположил, что исследователи, использовавшие схожие модели, выявляли одни и те же уязвимости.

В рамках отдельного конкурса Anza по Alpenglow исследователи должны были сжигать по 0,5 SOL за каждую заявку; в августе это также вызвало вопрос о риске для подающих сообщения. В своем сообщении от 26 января Дэниел Стенберг объяснил закрытие программы вознаграждений curl и выступил против взимания платы с исследователей на том этапе, в частности из-за административной нагрузки и риска отпугнуть добросовестных авторов сообщений. Стенберг объявил, что программа вознаграждений завершится 31 января, а возможность конфиденциально сообщать о проблемах безопасности сохранится.

Бхатт описал уязвимость высокой степени серьезности в планировщике, из-за которой Firedancer мог выполнять транзакции в иной последовательности и расходиться с другими клиентами валидаторов. По словам Бхатта, команда подробнее описывает системные инварианты в документации для автоматизированных аудиторов. Форма подачи заявки позволяет отвести по 3 000 символов на описание уязвимости, инструкции по ее воспроизведению, последствия и подтверждение концепции. Отдельно форма допускает краткое описание объемом до 1 024 символов. Более ясное изложение предположений помогает исследователям оценивать возможные уязвимости, а краткие инструкции по воспроизведению — проверяющим быстрее реагировать.

Действующие условия предусматривают, что после подачи заявки и подтверждения требуемого сжигания исследователь должен получить первый ответ через GitHub Security Advisory в течение 96 часов. Эти 96 часов относятся только к первому контакту и не устанавливают сроков проверки атаки, подготовки патча или выпуска исправления.