Firedancer กำหนดให้เผา 1 SOL เพื่อมีสิทธิ์รับเงินรางวัลบั๊ก รวมถึงรายงานซ้ำ

Firedancer ซอฟต์แวร์ตรวจสอบธุรกรรม Solana อิสระของ Jump Crypto กำหนดให้นักวิจัยเผา 1 SOL เพื่อให้มีสิทธิ์รับเงินรางวัลตามเงื่อนไขที่มีผลตั้งแต่วันที่ 18 ตุลาคม การเผา SOL คืนเงินไม่ได้สำหรับรายงานซ้ำ รายงานที่ไม่ถูกต้อง หรือรายงานที่อยู่นอกขอบเขต แม้รายงานซ้ำจะระบุช่องโหว่จริงก็ตาม แบบฟอร์มส่งรายงานระบุให้โอน SOL แบบย้อนกลับไม่ได้ไปยังกระเป๋าสำหรับเผา แทนที่จะเป็นการชำระเงินที่สร้างรายได้ค่าธรรมเนียมให้ Jump รายงานที่ส่งโดยไม่เผา SOL อาจได้รับการตรวจสอบ แต่ไม่มีสิทธิ์รับรางวัล

โดยทั่วไป เงื่อนไขปัจจุบันให้รางวัลแก่รายงานแรกที่ครอบคลุมปัญหาหนึ่งหรือรูปแบบที่คล้ายกัน แต่อนุญาตให้จ่ายเงินแก่ผู้รายงานภายหลังตามดุลยพินิจ นักวิจัยที่รายงานภายหลังอาจมีสิทธิ์ได้รับรางวัลหากพิสูจน์ได้ว่าผลกระทบรุนแรงกว่า หรือแสดงให้เห็นว่าช่องโหว่กระทบพื้นที่กว้างกว่า รายงานก่อนหน้าที่ไม่สมบูรณ์ หรือมีสมมติฐานประกอบที่ไม่ถูกต้อง อาจเปิดทางให้รายงานภายหลังได้รับการพิจารณาเป็นรายงานหลัก ทีมงานอาจจ่ายค่าตอบแทนให้นักวิจัยสำหรับงานต่อเนื่องที่มีคุณภาพสูงด้วย

เงื่อนไขจัดประเภทข้อมูลที่เกี่ยวข้องในคลังโค้ดสาธารณะว่าเป็นปัญหาที่ทราบแล้ว ซึ่งรวมถึงความคิดเห็นในโค้ด คำขอรวมโค้ด และการเปลี่ยนแปลงเพื่อบรรเทาปัญหาบนสาขาสาธารณะ ปัญหาที่พิสูจน์ได้ว่ามีผู้ทราบเป็นการส่วนตัวก่อนส่งรายงานจะได้รับการพิจารณาเป็นรายกรณี กฎพื้นฐานสำหรับ proof-of-concept กำหนดให้เป็นการโจมตีตั้งแต่ต้นจนจบที่ทำซ้ำได้ แสดงผลกระทบในทางปฏิบัติบนสาขาและการกำหนดค่าที่อนุญาต โดยมีข้อยกเว้นเฉพาะที่ขึ้นอยู่กับดุลยพินิจ

ช่องโหว่ที่เข้าเกณฑ์ได้รับรางวัล 2 เท่าของอัตราปกติจนถึงวันที่ 20 พฤศจิกายน 2026 ขณะที่ช่องโหว่ด้านกลไกฉันทามติ Alpenglow ที่เข้าเกณฑ์ได้รับรางวัล 3 เท่าของอัตราปกติ ช่องโหว่ที่จำกัดอยู่เฉพาะกลไกฉันทามติก่อน Alpenglow มีสิทธิ์ได้รับเพียงเงินจ่ายตามดุลยพินิจในจำนวนที่ลดลงอย่างมาก กำหนดเส้นตายในเดือนพฤศจิกายนเป็นการสิ้นสุดการจ่ายรางวัลในอัตราพิเศษ ไม่ใช่การยุติโครงการเงินรางวัลบั๊ก การเปิดตัว v26.10.2 เมื่อวันที่ 14 ตุลาคม เปิดใช้การรองรับ Alpenglow เป็นค่าเริ่มต้นในการกำหนดค่าสำหรับ testnet และ devnet

การแข่งขันก่อนหน้านี้ของ Firedancer บน Immunefi จัดขึ้นตั้งแต่วันที่ 9 เมษายนถึง 9 พฤษภาคม 2026 และอนุญาตอย่างชัดเจนให้รับรางวัลจากการรายงานช่องโหว่ซ้ำที่ยังไม่ได้รับการแก้ไข การเปิดเผยวิธีแก้ไขต่อสาธารณะทำให้รายงานที่ส่งหลังจากนั้นหมดสิทธิ์ ส่วนรายงานที่ส่งก่อนการแก้ไขยังคงมีสิทธิ์ อิชาน บัตต์เขียนไว้ในบทความย้อนหลังของ Jump Crypto เมื่อวันที่ 16 ตุลาคม เรื่อง Hardening Firedancer ว่าการแข่งขันเรียกเก็บเงิน 100 ดอลลาร์ต่อรายงาน บัตต์กล่าวว่านักวิจัยแต่ละคนส่งรายงานได้วันละ 1 ฉบับ เงื่อนไขเดือนตุลาคมใช้โครงสร้างการชำระเงินที่ต่างออกไปและจำกัดสิทธิ์ของรายงานซ้ำมากกว่าการแข่งขันในช่วงฤดูใบไม้ผลิ

บัตต์รายงานว่ามีนักวิจัย 162 คนส่งรายงาน 809 ฉบับ บัตต์นับรายงานด้านความปลอดภัยที่แตกต่างกันได้ 127 รายการ โดยไม่นับหมวดข้อมูลเชิงลึกของการแข่งขัน บัตต์กล่าวว่ารายงานซ้ำมีสัดส่วนเกือบครึ่งหนึ่งของรายงานที่ถูกต้อง ซึ่งเป็นกลุ่มที่กว้างกว่ารายงานด้านความปลอดภัยที่แตกต่างกัน 127 รายการซึ่งไม่นับหมวดข้อมูลเชิงลึก บัตต์รายงานว่ามีรายงานส่งเข้ามาราว 26 ฉบับต่อวัน และจำนวนรายงานค้างสูงสุดอยู่ที่ 299 ฉบับ บัตต์กล่าวว่ารายงานซ้ำราว 80% มาถึงภายใน 3 วันหลังรายงานหลัก

บัตต์ระบุบางส่วนว่าการค้นพบซ้ำเกิดจากความล่าช้าในการตรวจสอบ ซึ่งทำให้ข้อค้นพบก่อนหน้ายังไม่ได้รับการแก้ไขหรือเปิดเผย และนำไปสู่การส่งรายงานเพิ่มเติมกับภาระตรวจสอบที่เพิ่มขึ้น บัตต์กล่าวว่ารายงานซ้ำลดลงเมื่อทีมตามงานคัดกรองทัน บัตต์กล่าวว่าทีมเชื่อว่าเอเจนต์เป็นผู้ค้นพบหรือเขียนรายงานเกือบทั้งหมดในการแข่งขัน บัตต์เสนอว่านักวิจัยที่ใช้โมเดลคล้ายกันระบุช่องโหว่เดียวกันได้

การแข่งขัน Alpenglow แยกต่างหากของ Anza กำหนดให้นักวิจัยเผา 0.5 SOL ต่อรายงาน และก่อให้เกิดข้อกังวลคล้ายกันเกี่ยวกับความเสี่ยงในการส่งรายงานเมื่อเดือนสิงหาคม ดาเนียล สเตนเบิร์กกล่าวเมื่อวันที่ 26 มกราคมถึงการยุติโครงการเงินรางวัลบั๊กของ curl โดยปฏิเสธการเรียกเก็บเงินจากนักวิจัยในเวลานั้น ส่วนหนึ่งเนื่องจากภาระงานธุรการและความเป็นไปได้ที่จะทำให้ผู้รายงานที่สุจริตไม่กล้าส่งข้อมูล สเตนเบิร์กประกาศว่าโครงการเงินรางวัลจะสิ้นสุดวันที่ 31 มกราคม ขณะที่การรายงานปัญหาด้านความปลอดภัยแบบส่วนตัวยังคงดำเนินต่อไป

บัตต์อธิบายถึงช่องโหว่การจัดตารางงานระดับความรุนแรงสูง ซึ่งอาจทำให้ Firedancer ประมวลผลธุรกรรมในลำดับที่ต่างออกไปและทำงานไม่สอดคล้องกับไคลเอนต์ตรวจสอบธุรกรรมอื่น ๆ บัตต์กล่าวว่าทีมกำลังทำให้เงื่อนไขที่ระบบต้องรักษาไว้ชัดเจนขึ้นในเอกสารสำหรับเครื่องมือตรวจสอบอัตโนมัติ แบบฟอร์มส่งรายงานที่ใช้อยู่ให้พื้นที่ช่องละ 3,000 ตัวอักษรสำหรับคำอธิบายช่องโหว่ คำแนะนำในการทำซ้ำ ผลกระทบ และ proof of concept ส่วนช่องสรุปแยกต่างหากมีพื้นที่ 1,024 ตัวอักษร การระบุสมมติฐานให้ชัดเจนขึ้นช่วยให้นักวิจัยประเมินช่องโหว่ที่สงสัยได้ ขณะที่คำแนะนำการทำซ้ำที่กระชับช่วยให้ผู้ตรวจสอบตอบสนองได้

เงื่อนไขปัจจุบันระบุความคาดหวังว่าจะมีการติดต่อผ่าน GitHub Security Advisory ภายใน 96 ชั่วโมงหลังส่งรายงานและยืนยันการเผา SOL ตามที่กำหนด ความคาดหวังเรื่อง 96 ชั่วโมงครอบคลุมเฉพาะการติดต่อครั้งแรก และไม่ได้กำหนดเส้นตายสำหรับการตรวจสอบการโจมตี การเตรียมแพตช์ หรือการนำการแก้ไขไปใช้งาน