Firedancer漏洞懸賞要求先銷毀1 SOL，重複通報也不退還

Jump Crypto開發的獨立Solana驗證者軟體Firedancer，依10月18日起生效的條款，要求研究人員先銷毀1 SOL，才符合領取懸賞的資格。重複、無效或超出範圍的通報均不退還這筆銷毀，即使重複通報指出的是真實漏洞也一樣。提交表單規定，SOL須不可逆地轉至銷毀錢包，而非支付一筆能為Jump帶來手續費收入的款項。未銷毀SOL而提交的報告可能仍會獲得審查，但不符合領獎資格。

現行條款通常獎勵最早提交、涵蓋某項問題或類似變體的報告，但也允許酌情支付獎金給後續提交者。後續研究人員若能證明影響更大，或漏洞影響範圍更廣，可能符合領獎資格。若較早提交的報告不完整，或所依據的假設有誤，後續報告可能被列為主要發現。團隊也可能為高品質的後續工作向研究人員支付獎金。

條款將公開儲存庫中相關資料列為已知問題，包括程式碼註解、提取要求，以及公開分支上的緩解措施。若能證明某項問題在提交前已於私下為人所知，將個別審酌。基準概念驗證規則要求提供可重現、端對端的攻擊，證明其在允許的分支與配置上具有實際影響；另有明訂的酌情例外。

符合資格的發現可在2026年11月20日前獲得標準獎金的兩倍；符合資格的Alpenglow共識相關發現則可獲得標準獎金的三倍。僅限於Alpenglow導入前共識機制的發現，只能獲得大幅調低、酌情決定的款項。11月期限結束的是加碼獎金，而非懸賞計畫。10月14日發布的v26.10.2版本，讓Alpenglow支援在測試網與開發網配置中預設啟用。

Firedancer先前在Immunefi舉辦的競賽於2026年4月9日至5月9日進行，並明確允許對尚未修復漏洞的重複通報發放獎金。修復內容公開後提交的報告將失去資格，但修復前提交的報告仍符合資格。Ishan Bhatt在Jump Crypto於10月16日發布的回顧文章《強化Firedancer》中寫道，該競賽每份報告收取100美元。Bhatt表示，每名研究人員每天只能提交一份報告。10月條款採用不同的收費方式，且對重複通報資格的限制比春季競賽更嚴格。

Bhatt表示，競賽期間有162名研究人員提交了809份報告。排除競賽中的「洞見」類別後，Bhatt統計出127份不同的安全性報告。Bhatt表示，重複報告占有效提交件數近半；其統計範圍比127份不同的非洞見類報告更廣。Bhatt表示，每天約收到26份報告，待處理報告的數量一度最多達299份。Bhatt表示，約80%的重複報告是在主要報告提交三天後才送達。

Bhatt部分將重複發現歸因於審查延遲：早先發現的問題尚未解決或公開，因而引來更多提交，也增加了審查工作。Bhatt表示，團隊逐漸趕上分流審查進度後，重複提交數量隨之下降。Bhatt表示，團隊認為競賽中幾乎所有報告都是由代理程式發現或撰寫。Bhatt推測，使用類似模型的研究人員找到了相同漏洞。

Anza另行舉辦的Alpenglow競賽要求研究人員每份報告銷毀0.5 SOL，並在8月引發類似的提交風險問題。Daniel Stenberg在1月26日談及curl關閉漏洞懸賞時表示，當時不應向研究人員收費，部分原因是行政負擔，以及可能使正當通報者卻步。Stenberg宣布懸賞將於1月31日結束，但仍會接受私下提交的安全性通報。

Bhatt描述了一項高嚴重性排程漏洞，可能導致Firedancer以不同於其他驗證者用戶端的順序執行交易，進而產生分歧。Bhatt表示，團隊正透過文件更明確地說明系統不變條件，以供自動化稽核工具使用。現行提交表單為漏洞說明、重現指示、影響及概念驗證各提供3,000字元的上限，另提供1,024字元撰寫摘要。更清楚地說明假設，有助研究人員評估疑似漏洞；精簡的重現指示則有助審查人員回應。

現行條款預期在提交報告並確認已銷毀所需SOL後96小時內，透過GitHub安全公告與研究人員聯絡。這項96小時的預期僅涉及初步聯絡，並未訂出攻擊驗證、準備修補程式或部署修復的期限。