Firedancer yêu cầu đốt 1 SOL để đủ điều kiện nhận thưởng tìm lỗi, kể cả với báo cáo trùng lặp

Firedancer, phần mềm trình xác thực Solana độc lập của Jump Crypto, yêu cầu các nhà nghiên cứu đốt 1 SOL để đủ điều kiện nhận thưởng theo các điều khoản có hiệu lực từ ngày 18 tháng 10. Khoản đốt này không được hoàn lại đối với báo cáo trùng lặp, không hợp lệ hoặc nằm ngoài phạm vi, kể cả khi báo cáo trùng lặp phát hiện một lỗ hổng thực sự. Biểu mẫu gửi báo cáo quy định chuyển SOL không thể đảo ngược đến một ví đốt token, thay vì thanh toán tạo doanh thu phí cho Jump. Báo cáo không kèm giao dịch đốt có thể vẫn được xem xét, nhưng không đủ điều kiện nhận thưởng.

Các điều khoản hiện hành nhìn chung ưu tiên báo cáo sớm nhất về một vấn đề hoặc biến thể tương tự, đồng thời cho phép tùy ý chi trả cho các báo cáo sau. Nhà nghiên cứu gửi báo cáo sau có thể đủ điều kiện nếu chứng minh được mức độ ảnh hưởng lớn hơn hoặc cho thấy lỗ hổng tác động đến phạm vi rộng hơn. Một báo cáo trước đó chưa đầy đủ, hoặc dựa trên các giả định sai, có thể tạo điều kiện để báo cáo sau trở thành phát hiện chính. Nhóm cũng có thể trả thưởng cho các nghiên cứu tiếp theo có chất lượng cao.

Các điều khoản xếp những nội dung liên quan trong kho mã công khai vào nhóm vấn đề đã biết, bao gồm chú thích trong mã, yêu cầu kéo và các thay đổi giảm thiểu trên nhánh công khai. Những vấn đề được chứng minh là đã biết riêng tư trước khi gửi báo cáo sẽ được xem xét riêng. Các quy định cơ bản về bằng chứng khái niệm yêu cầu một cuộc tấn công có thể tái hiện từ đầu đến cuối, thể hiện tác động thực tế trên nhánh và cấu hình được phép, với một số ngoại lệ tùy quyết định của nhóm.

Các phát hiện đủ điều kiện nhận mức thưởng gấp đôi thông thường đến ngày 20 tháng 11 năm 2026, trong khi các phát hiện đủ điều kiện liên quan đến cơ chế đồng thuận Alpenglow nhận mức thưởng gấp ba. Các phát hiện chỉ liên quan đến cơ chế đồng thuận trước Alpenglow chỉ đủ điều kiện nhận khoản chi trả tùy nghi thấp hơn đáng kể. Hạn chót tháng 11 kết thúc các khoản thưởng tăng cường, chứ không phải chương trình thưởng tìm lỗi. Bản phát hành ngày 14 tháng 10, v26.10.2, bật hỗ trợ Alpenglow theo mặc định trong các cấu hình testnet và devnet.

Cuộc thi trước đó của Firedancer trên Immunefi diễn ra từ ngày 9 tháng 4 đến ngày 9 tháng 5 năm 2026, và cho phép rõ ràng trả thưởng cho các báo cáo trùng lặp về lỗ hổng chưa được khắc phục. Việc công khai bản sửa lỗi khiến các báo cáo gửi sau đó mất điều kiện nhận thưởng, còn các báo cáo gửi trước khi có bản sửa vẫn đủ điều kiện. Trong bài tổng kết ngày 16 tháng 10 của Jump Crypto mang tên Hardening Firedancer, Ishan Bhatt viết rằng cuộc thi thu phí 100 USD cho mỗi báo cáo. Bhatt cho biết mỗi nhà nghiên cứu chỉ được gửi một báo cáo mỗi ngày. Các điều khoản tháng 10 đưa ra một cơ chế thanh toán khác và hạn chế điều kiện nhận thưởng cho báo cáo trùng lặp nhiều hơn so với cuộc thi mùa xuân.

Bhatt cho biết 162 nhà nghiên cứu đã gửi 809 báo cáo trong cuộc thi. Bhatt thống kê có 127 báo cáo bảo mật riêng biệt, không tính hạng mục insight của cuộc thi. Bhatt nói báo cáo trùng lặp chiếm gần một nửa số báo cáo hợp lệ, một tập hợp rộng hơn 127 báo cáo riêng biệt không thuộc hạng mục insight. Bhatt cho biết trung bình có khoảng 26 báo cáo mỗi ngày và số báo cáo tồn đọng mở đạt đỉnh 299. Bhatt nói khoảng 80% báo cáo trùng lặp được gửi trong vòng ba ngày sau báo cáo chính.

Bhatt một phần quy nguyên nhân của các phát hiện lặp lại cho việc chậm đánh giá, khiến những phát hiện trước đó chưa được xử lý hoặc công khai, từ đó phát sinh thêm báo cáo và khối lượng rà soát bổ sung. Bhatt cho biết số báo cáo trùng lặp giảm khi nhóm bắt kịp tiến độ phân loại. Bhatt nói nhóm tin rằng các tác nhân AI đã phát hiện hoặc viết gần như mọi báo cáo trong cuộc thi. Bhatt cho rằng các nhà nghiên cứu sử dụng những mô hình tương tự đã xác định cùng một lỗ hổng.

Cuộc thi riêng về Alpenglow của Anza yêu cầu nhà nghiên cứu đốt 0,5 SOL cho mỗi báo cáo và cũng đặt ra vấn đề tương tự về rủi ro khi gửi báo cáo hồi tháng 8. Trong bài viết ngày 26 tháng 1 về việc đóng chương trình thưởng tìm lỗi của curl, Daniel Stenberg phản đối việc thu phí nhà nghiên cứu vào thời điểm đó, một phần vì gánh nặng hành chính và nguy cơ khiến người báo cáo chính đáng ngần ngại. Stenberg thông báo chương trình thưởng sẽ kết thúc ngày 31 tháng 1, trong khi việc báo cáo bảo mật riêng tư vẫn tiếp tục.

Bhatt mô tả một lỗ hổng lập lịch có mức độ nghiêm trọng cao, có thể khiến Firedancer thực thi giao dịch theo trình tự khác và không đồng nhất với các phần mềm trình xác thực khác. Bhatt cho biết nhóm đang mô tả rõ hơn các bất biến của hệ thống trong tài liệu dành cho công cụ kiểm toán tự động. Biểu mẫu gửi báo cáo hiện hành cho phép tối đa 3.000 ký tự cho mỗi mục: mô tả lỗ hổng, hướng dẫn tái hiện, tác động và bằng chứng khái niệm. Biểu mẫu cũng cho phép viết phần tóm tắt tối đa 1.024 ký tự. Các giả định rõ ràng hơn có thể giúp nhà nghiên cứu đánh giá những lỗ hổng bị nghi ngờ, trong khi hướng dẫn tái hiện súc tích có thể giúp người rà soát phản hồi.

Các điều khoản hiện hành đặt kỳ vọng nhóm sẽ liên hệ qua GitHub Security Advisory trong vòng 96 giờ sau khi nhận báo cáo và xác nhận khoản đốt bắt buộc. Kỳ vọng 96 giờ chỉ áp dụng cho liên hệ ban đầu, không đặt ra thời hạn xác thực cuộc tấn công, chuẩn bị bản vá hoặc triển khai bản sửa lỗi.