Firedancer, yinelenen bildirimler dahil hata ödüllerine başvurmak için 1 SOL yakılmasını şart koşuyor

Jump Crypto'nun bağımsız Solana doğrulayıcı yazılımı Firedancer, 18 Ekim'de yürürlüğe giren şartlar kapsamında ödüle hak kazanmak için araştırmacıların 1 SOL yakmasını şart koşuyor. Yinelenen, geçersiz veya kapsam dışı bildirimler için yakılan SOL iade edilmiyor; yinelenen bildirim gerçek bir güvenlik açığını ortaya koysa bile bu kural geçerli. Başvuru formu, Jump'a ücret geliri sağlayan bir ödeme yerine, geri alınamaz biçimde bir yakım cüzdanına transfer yapılmasını öngörüyor. Yakım yapılmadan gönderilen bildirimler incelenebilir, ancak ödül almaya hak kazanamaz.

Mevcut şartlar genel olarak bir sorunu veya benzer bir varyantını kapsayan en erken bildirimi ödüllendiriyor; daha sonraki bildirimler için takdire bağlı ödemelere de izin veriyor. Daha sonraki araştırmacılar, etkinin daha büyük olduğunu ortaya koyarak veya güvenlik açığının daha geniş bir alanı etkilediğini göstererek ödüle hak kazanabilir. Önceki bir bildirimin eksik olması veya bu bildirimi destekleyen varsayımların yanlış çıkması, daha sonraki bir bildirimin birincil bulgu sayılmasını sağlayabilir. Ekip, sonradan yapılan yüksek kaliteli çalışmalar için de araştırmacılara ödeme yapabilir.

Şartlar, kamuya açık depolardaki ilgili materyalleri bilinen sorunlar kapsamında sınıflandırıyor; bu materyaller arasında kod yorumları, pull request'ler ve kamuya açık dallardaki azaltıcı değişiklikler bulunuyor. Bildirimden önce özel olarak bilindiği kanıtlanan sorunlar ayrı ayrı değerlendiriliyor. Temel kavram kanıtı kuralları, takdire bağlı belirtilen istisnalar dışında, izin verilen bir dal ve yapılandırmada pratik etki gösteren, tekrarlanabilir ve uçtan uca bir saldırı gerektiriyor.

Uygun bulgular 20 Kasım 2026'ya kadar standart ödülün iki katını, uygun Alpenglow mutabakatı bulguları ise standart ödülün üç katını alıyor. Yalnızca Alpenglow öncesi mutabakatla sınırlı bulgular, ancak önemli ölçüde azaltılmış ve takdire bağlı ödemelere hak kazanıyor. Kasım ayındaki son tarih artırılmış ödemeleri sona erdiriyor; ödül programını değil. 14 Ekim tarihli v26.10.2 sürümü, testnet ve devnet yapılandırmalarında Alpenglow desteğini varsayılan olarak etkinleştiriyor.

Firedancer'ın daha önce Immunefi'de düzenlediği yarışma 9 Nisan-9 Mayıs 2026 tarihleri arasında yapıldı ve henüz düzeltilmemiş güvenlik açıklarının yinelenen bildirimleri için ödüle açıkça izin verdi. Bir düzeltmenin kamuya açık biçimde duyurulması, sonradan yapılan bildirimleri geçersiz kılarken düzeltmeden önceki başvurular ödüle hak kazanmayı sürdürdü. Ishan Bhatt, Jump Crypto'nun 16 Ekim tarihli Hardening Firedancer başlıklı değerlendirmesinde yarışmada her bildirim için 100 dolar ücret alındığını yazdı. Bhatt, her araştırmacının günde yalnızca bir bildirim gönderebildiğini söyledi. Ekim şartları farklı bir ücret yapısı getiriyor ve yinelenen bildirimlerin ödüle uygunluğunu ilkbahardaki yarışmaya kıyasla daha fazla kısıtlıyor.

Bhatt, yarışma sırasında 162 araştırmacının 809 başvuru yaptığını bildirdi. Bhatt, yarışmanın insight kategorisi hariç 127 farklı güvenlik bildirimi saydı. Bhatt, yinelenen bildirimlerin geçerli başvuruların neredeyse yarısını oluşturduğunu söyledi; bu sayı, insight kategorisi dışındaki 127 farklı bildirimin kapsadığından daha geniş bir havuzdu. Bhatt, günde yaklaşık 26 başvuru yapıldığını ve açık rapor kuyruğunun en fazla 299'a ulaştığını bildirdi. Bhatt, yinelenen bildirimlerin yaklaşık %80'inin ilk başvurudan sonraki üç gün içinde geldiğini söyledi.

Bhatt, tekrar eden bulguları kısmen, önceki bulguları çözümsüz veya açıklanmamış bırakarak yeni başvurulara ve ek inceleme işine yol açan değerlendirme gecikmelerine bağladı. Bhatt, ekibin triyajdaki birikmiş işleri kapatmasıyla yinelenen başvuruların azaldığını söyledi. Bhatt, ekibin yarışmadaki raporların neredeyse tamamının ajanlar tarafından keşfedildiğine veya yazıldığına inandığını belirtti. Bhatt, benzer modeller kullanan araştırmacıların aynı güvenlik açıklarını tespit etmiş olabileceğini öne sürdü.

Anza'nın ayrı Alpenglow yarışmasında araştırmacıların her bildirim için 0,5 SOL yakması gerekiyordu; bu uygulama ağustosta benzer bir başvuru riski tartışmasını gündeme getirdi. Daniel Stenberg, curl ödül programının kapatılmasına ilişkin 26 Ocak tarihli açıklamasında, kısmen idari yükler ve meşru bildirimcilerin caydırılma ihtimali nedeniyle o aşamada araştırmacılardan ücret alınmasını reddetti. Stenberg, ödül programının 31 Ocak'ta sona ereceğini, özel güvenlik bildirimlerinin ise devam edeceğini duyurdu.

Bhatt, Firedancer'ın işlemleri farklı bir sırayla yürütmesine ve diğer doğrulayıcı istemcilerle ayrışmasına yol açabilecek yüksek önem dereceli bir zamanlama güvenlik açığını anlattı. Bhatt, otomatik denetçiler için sistem değişmezlerini belgelerde daha açık hale getirdiklerini söyledi. Aktif başvuru formu; güvenlik açığının açıklaması, yeniden üretme talimatları, etki ve kavram kanıtı bölümlerinin her biri için 3.000 karaktere izin veriyor. Form ayrıca 1.024 karakterlik bir özet alanı sunuyor. Varsayımların daha açık olması, araştırmacıların şüpheli güvenlik açıklarını değerlendirmesine; kısa ve net yeniden üretme talimatları ise incelemeyi yapanların yanıt vermesine yardımcı olabilir.

Mevcut şartlar, gerekli yakımın yapıldığı doğrulandıktan ve başvuru gönderildikten sonra 96 saat içinde GitHub Security Advisory üzerinden iletişim kurulmasının beklendiğini belirtiyor. 96 saatlik beklenti yalnızca ilk iletişim için geçerli; saldırının doğrulanması, yamanın hazırlanması veya düzeltmenin dağıtılması için bir son tarih belirlemiyor.