Jump Crypto wprowadziła wymóg spalenia 1 SOL dla badaczy bezpieczeństwa przesyłających zgłoszenia do Firedancer, niezależnie opracowanego oprogramowania walidatora Solana. Token o wartości około 100 dolarów musi zostać zniszczony, zanim zgłoszenie będzie mogło kwalifikować się do nagrody bug bounty.

Zgodnie z warunkami zaktualizowanymi 26 października na oficjalnej stronie programu opłata nie podlega zwrotowi, nawet jeśli zgłoszenie okaże się zdublowane, nieprawidłowe lub poza zakresem programu. Zgłoszenia złożone bez dowodu spalenia mogą zostać zrecenzowane, ale nie mogą otrzymać nagród.

Kolejka zgłoszeń napędzana przez AI stoi za zmianą

Nowa zasada nastąpiła po konkursie audytowym przeprowadzonym od 9 kwietnia do 9 maja, który miał ujawnić luki w oprogramowaniu walidatora. Jump otrzymała 809 zgłoszeń od 162 badaczy, co zaowocowało 127 unikalnymi ustaleniami dotyczącymi bezpieczeństwa. Prawie połowa ważnych raportów powielała problemy już wcześniej zidentyfikowane przez innych.

Ishan Bhatt, badacz w Jump, powiedział, że agenci AI prawdopodobnie pomogli w wygenerowaniu niemal każdego zgłoszenia. Kolejka recenzji osiągnęła szczyt na poziomie 299 otwartych raportów, przy czym 80% duplikatów wpłynęło ponad trzy dni po oryginale. Zaległości pokazują kompromis, jaki narzędzia AI wprowadzają dla zespołów bezpieczeństwa: wstępne raporty można generować masowo, ale każde z nich i tak trzeba przejrzeć, zanim wypłacana jest jakakolwiek nagroda. Osobno w tym miesiącu ogłoszono plany uruchomienia operacji walidatora Solana w Hongkongu.

Koszt za niezweryfikowane zgłoszenia

Według Jump wymóg spalenia tworzy koszt finansowy za przesyłanie niesprawdzonych twierdzeń. Opłata trafia na adres, z którego nie można wydawać tokenów, co oznacza, że Jump nie zbiera żadnej płatności. Poprzedni konkurs pobierał 100 dolarów za raport i ograniczał zgłoszenia do jednego dziennie na badacza.

Badacze muszą wyjaśnić, jak odtworzyć każdą lukę, a nowa platforma zgłoszeniowa ogranicza główne sekcje raportu do 3000 znaków. Jump oczekuje kontaktu z uprawnionymi badaczami w ciągu 96 godzin po potwierdzeniu zarówno zgłoszenia, jak i spalenia tokenów.

Potrójne nagrody za błędy w Alpenglow

Firedancer oferuje podwójne standardowe kwoty nagród do 20 listopada. Zgłoszenia dotyczące konkretnie aktualizacji Alpenglow w Solanie kwalifikują się do potrójnych nagród, przy czym krytyczne ustalenia mogą otrzymać do 300 000 dolarów, choć ostateczne wypłaty określa Jump.

Zachęty nastąpiły po uruchomieniu mainnetu Alpenglow, nowego systemu głosowania Solany, 21 października. Aktualizacja zmienia sposób, w jaki walidatory osiągają zgodę co do transakcji w Solanie, a Jump zachęca badaczy do analizy nowego kodu, dopóki wyższe wypłaty są dostępne — dając badaczom określone okno czasowe na testowanie świeżo uruchomionego kodu mainnetu na podwyższonych warunkach.

Dodatkowy kontekst

Firedancer działa obok Agave, innego klienta walidatora Solana — para ta oznacza, że konsensus Solany nie opiera się na jednej implementacji walidatora. Jump poinformowała, że jej oprogramowanie zabezpieczało około 15% postawionego SOL w Solanie na dzień 16 października. Osobny incydent przejęcia portfela bota handlowego Solana zgłoszony 26 października dotyczył portfeli użytkowników i nie był powiązany ze znaną luką w Firedancer.

Audyt wcześniej ujawnił błąd w planowaniu transakcji, który mógł spowodować, że Firedancer przetwarzałby płatności w niewłaściwej kolejności i rozchodził się z innymi walidatorami. Jump twierdzi, że nowe zasady raportowania mają na celu ograniczenie opóźnień w recenzjach, przy jednoczesnym zachowaniu kwalifikowalności poważnych ustaleń dotyczących bezpieczeństwa do nagród.

Źródło: CoinCentral