Jump Crypto ha introdotto un requisito di burn di 1 SOL per i ricercatori di sicurezza che inviano segnalazioni a Firedancer, il suo software validatore per Solana sviluppato in modo indipendente. Il token, del valore di circa 100 dollari, deve essere distrutto prima che una segnalazione possa qualificarsi per un premio bug bounty.

Secondo i termini aggiornati il 26 ottobre sul sito ufficiale del programma, la commissione non è rimborsabile, anche quando la segnalazione risulta duplicata, non valida o fuori dall'ambito del programma. Gli invii presentati senza prova del burn possono comunque essere esaminati, ma non possono ricevere premi.

Un arretrato generato dall'IA dietro la modifica

La nuova regola segue un contest di audit svoltosi dal 9 aprile al 9 maggio, pensato per individuare vulnerabilità nel software validatore. Jump ha ricevuto 809 invii da 162 ricercatori, che hanno prodotto 127 risultati di sicurezza unici. Quasi la metà delle segnalazioni valide ripeteva problemi già identificati da altri.

Ishan Bhatt, ricercatore di Jump, ha dichiarato che gli agenti IA hanno probabilmente contribuito a produrre quasi ogni invio. La coda di revisione ha raggiunto un picco di 299 segnalazioni aperte, con l'80% dei duplicati arrivato più di tre giorni dopo l'originale. L'arretrato mostra il compromesso che gli strumenti IA introducono per i team di sicurezza: le segnalazioni candidate possono essere generate su larga scala, ma ognuna deve comunque essere esaminata prima del pagamento di un eventuale premio. Separatamente, questo mese sono stati annunciati piani per operazioni di validazione Solana a Hong Kong.

Un costo per le affermazioni non verificate

Jump dichiara che il requisito di burn crea un costo economico per l'invio di affermazioni non verificate. La commissione va a un indirizzo che non può spendere i token, il che significa che Jump non incassa alcun pagamento. Il contest precedente prevedeva una commissione di 100 dollari per segnalazione e limitava gli invii a uno per ricercatore al giorno.

I ricercatori devono spiegare come riprodurre ogni difetto, e la nuova piattaforma di invio limita le sezioni principali della segnalazione a 3.000 caratteri. Jump prevede di contattare i ricercatori idonei entro 96 ore dalla conferma sia dell'invio sia del burn del token.

Premi triplicati per i bug di Alpenglow

Firedancer offre il doppio dei suoi importi abituali di bounty fino al 20 novembre. Le segnalazioni specifiche per l'aggiornamento Alpenglow di Solana si qualificano per premi triplicati, con i risultati critici idonei fino a 300.000 dollari, sebbene Jump determini i pagamenti finali.

Gli incentivi seguono il lancio sulla mainnet di Alpenglow, il nuovo sistema di voto di Solana, avvenuto il 21 ottobre. L'aggiornamento modifica il modo in cui i validatori raggiungono l'accordo sulle transazioni Solana, e Jump incoraggia i ricercatori a esaminare il nuovo codice mentre i premi maggiorati restano disponibili — offrendo loro una finestra definita per analizzare codice mainnet appena lanciato a condizioni elevate.

Contesto aggiuntivo

Firedancer opera alongside Agave, un altro client validatore Solana, una combinazione che significa che il consenso di Solana non si basa su una singola implementazione di validatore. Jump ha dichiarato che il suo software proteggeva circa il 15% dello SOL in staking su Solana al 16 ottobre. Una separate violazione del wallet di un trading bot Solana, segnalata il 26 ottobre, ha coinvolto wallet di utenti e non è stata collegata a un difetto noto di Firedancer.

L'audit aveva precedentemente individuato un errore di pianificazione delle transazioni che poteva portare Firedancer a elaborare pagamenti fuori ordine ed essere in disaccordo con gli altri validatori. Jump dichiara che le nuove regole di segnalazione sono progettate per ridurre i ritardi di revisione, mantenendo al contempo l'idoneità ai premi per i risultati di sicurezza gravi.

Fonte: CoinCentral