Firedancer شکارچیان جایزه را ملزم به سوزاندن ۱ SOL حتی برای گزارش‌های باگ تکراری می‌کند

Firedancer، نرم‌افزار مستقل اعتبارسنجی Jump Crypto برای Solana، از محققان می‌خواهد که ۱ SOL بسوزانند تا واجد شرایط دریافت جایزه باگ تحت شرایطی که از ۱۸ اکتبر اجرایی می‌شود، شوند. این سوزاندن غیرقابل استرداد است حتی زمانی که یک گزارش یک آسیب‌پذیری واقعی را شناسایی کند که شخص دیگری قبلاً آن را ارسال کرده است.

این تغییر مسیر پرداخت برای پیدا کنندگان بعدی را نسبت به مسابقه حسابرسی بهاری Firedancer محدود می‌کند. در یک مرور ۱۶ اکتبر برای Jump Crypto، ایشان بات بخشی از مشکل گزارش‌های تکراری را به تأخیرهای بررسی تیم نسبت می‌دهد: محققان همچنان به یافتن باگ‌ها ادامه می‌دادند در حالی که گزارش‌های قبلی منتظر اقدام بودند.

شرایط فعلی به طور کلی به اولین ارسال در مورد یک مشکل مشابه یا یک واریانت مشابه جایزه می‌دهد، در حالی که جوایز اختیاری برای برخی از گزارش‌های بعدی حفظ می‌شود.

یک باگ واقعی هنوز می‌تواند پیدا کننده‌اش را بدون هزینه بگذارد

مسابقه قبلی Immunefi Firedancer از ۹ آوریل تا ۹ مه ۲۰۲۶ برگزار شد. قوانین منتشر شده آن به وضوح گزارش‌های تکراری از یک باگ غیر اصلاح شده را واجد شرایط دریافت جوایز قرار می‌داد. پس از افشای عمومی یک اصلاح، گزارش‌های جدید نامعتبر می‌شدند، در حالی که گزارش‌های ارسال شده قبل از اصلاح همچنان واجد شرایط باقی می‌ماندند.

این قبلاً یک سیستم ارسال پرداختی بود. در مرور ۱۶ اکتبر خود در مورد تقویت Firedancer، بات می‌گوید که مسابقه برای هر گزارش ۱۰۰ دلار هزینه می‌کرد و محدودیتی برای یک ارسال در روز برای هر محقق اعمال می‌کرد. توسعه اکتبر یک ساختار هزینه متفاوت است که با واجد شرایط بودن تکراری محدودتر همراه است.

یک محقق بعدی ممکن است با نشان دادن تأثیر بیشتر یا سطح وسیع‌تری از آسیب، جایزه‌ای کسب کند. یک ارسال اولیه ناقص، یا یکی که بر اساس فرضیات نادرست است، ممکن است اجازه دهد که یک گزارش بعدی به عنوان یافته اصلی تبدیل شود. تیم همچنین می‌تواند کار با کیفیت بالای بعدی را پاداش دهد.

واجد شرایط بودن همچنین فراتر از وضعیت تکراری گسترش می‌یابد. شرایط مواد مربوط به مخزن عمومی، از جمله نظرات کد، درخواست‌های کشش و تغییرات کاهش‌دهنده در شاخه‌های عمومی را به عنوان مسائل شناخته شده در نظر می‌گیرد. مسائل شناخته شده خصوصی که به وضوح قبل از یک گزارش وجود داشته‌اند، مورد بررسی موردی قرار می‌گیرند. الزامات پایه‌ای اثبات مفهوم نیاز به یک حمله قابل تولید از ابتدا تا انتها در برابر شاخه و پیکربندی مجاز دارند، که تأثیر عملی را نشان می‌دهد و مشمول استثنائات اختیاری مشخص شده است.

فرم ارسال یک انتقال غیرقابل برگشت به یک کیف پول سوزان را توصیف می‌کند. شرایط همچنین سوزاندن را برای گزارش‌های نامعتبر و خارج از محدوده غیرقابل استرداد می‌سازد. این هزینه‌ای است که توسط محقق سوزانده می‌شود؛ Jump آن را به عنوان درآمد هزینه جمع‌آوری نمی‌کند. گزارش‌هایی که سوزانده نشده‌اند ممکن است بررسی شوند یا نشوند، اما نمی‌توانند تحت شرایط جایزه‌ای دریافت کنند.

Firedancer جوایز را در دسترس نگه می‌دارد و به طور موقت آنها را افزایش می‌دهد. یافته‌های واجد شرایط از ۲۰ نوامبر ۲۰۲۶ دو برابر پرداخت استاندارد را دریافت می‌کنند، یا سه برابر پرداخت استاندارد برای یافته‌های توافقی Alpenglow. یافته‌هایی که تنها بر توافق پیش از Alpenglow تأثیر می‌گذارند، جوایز اختیاری به شدت کاهش یافته‌ای دریافت می‌کنند. مهلت پایان افزایش، به جای خود جایزه، پایان می‌یابد.

انتشار ۱۴ اکتبر v26.10.2 شامل پشتیبانی Alpenglow است که در پیکربندی‌های پیش‌فرض testnet و devnet فعال شده است.

صف تکراری یک مشکل بررسی داشت

حساب Bhatt از مسابقه بهار توضیح می‌دهد که چرا تغییر پرداخت فراتر از جلوگیری از هرزنامه است.

او گزارش می‌دهد که ۸۰۹ ارسال کل از ۱۶۲ محقق وجود دارد که منجر به ۱۲۷ ارسال امنیتی منحصر به فرد خارج از دسته‌بندی بینش مسابقه شده است. تقریباً نیمی از ارسال‌های معتبر تکراری بودند. عدد ۱۲۷ شامل ارسال‌های غیر بینش منحصر به فرد است؛ سهم تکراری به مجموعه وسیع‌تری از ارسال‌های معتبر اشاره دارد.

اعداد بیشتری که او ارائه می‌دهد به صف مربوط می‌شود. با حدود ۲۶ ارسال در روز، عقب‌ماندگی به ۲۹۹ گزارش باز اوج گرفت. او می‌گوید حدود ۸۰٪ از ارسال‌های تکراری بیش از سه روز پس از گزارش اصلی رسیدند.

Bhatt یک حلقه بازخورد را توصیف می‌کند. یافته‌های قبلی بدون اصلاح یا افشا باقی ماندند در حالی که بررسی به تأخیر افتاد، و محققان دیگر مجبور شدند همان مشکلات را کشف و ارسال کنند. این گزارش‌ها کار بررسی بیشتری را اضافه کردند. ارسال‌های تکراری کاهش یافتند زیرا تیم در حال رسیدگی به عقب‌ماندگی بود، طبق حساب او.

Bhatt همچنین می‌گوید که تیم معتقد است تقریباً هر گزارش مسابقه‌ای توسط یک عامل کشف یا نوشته شده است. او پیشنهاد می‌کند که محققانی که از مدل‌های مشابه استفاده می‌کنند به همان اشکالات نزدیک شده‌اند.

CryptoSlate در ماه اوت در طول مسابقه جداگانه Alpenglow Anza یک مشکل مشابه در مورد خطر ثبت‌نام گزارش کرد که نیاز به سوزاندن ۰.۵ SOL به ازای هر گزارش داشت. مرور گذشته Firedancer یک درس عملی خاص را اضافه می‌کند: عقب‌ماندگی بررسی خود به حفظ فرصت‌های کشف مجدد کمک کرده است.

در حساب خود در تاریخ ۲۶ ژانویه از بسته شدن پاداش curl، دانیل استنبرگ به دلیل اصطکاک اداری و خطر جلوگیری از گزارش‌دهندگان مشروع، از دریافت هزینه از محققان در آن زمان خودداری کرد. او اعلام کرد که پاداش در تاریخ ۳۱ ژانویه متوقف خواهد شد در حالی که گزارش‌دهی امنیتی خصوصی ادامه خواهد داشت.

آزمایش مفید این است که چه چیزی به یک اصلاح می‌رسد

مرور گذشته Bhatt یک یافته برنامه‌ریزی با شدت بالا را توصیف می‌کند که می‌تواند باعث شود Firedancer تراکنش‌ها را به ترتیبی متفاوت اجرا کند و از سایر مشتریان اعتباردهنده منحرف شود.

Firedancer بخش‌هایی از آن فرآیند را تغییر داده است. Bhatt می‌گوید که تیم در حال مستند کردن invariants سیستم به‌طور واضح‌تر برای حسابرسان خودکار است. فرم زنده اجازه می‌دهد تا ۳۰۰۰ کاراکتر برای توصیف آسیب‌پذیری، مراحل تولید مثل، تأثیر و اثبات مفهوم، با یک خلاصه ۱۰۲۴ کاراکتری استفاده شود. فرضیات واضح‌تر می‌توانند به محققان در ارزیابی یک اشکال مشکوک کمک کنند؛ دستورالعمل‌های مختصر تولید مثل می‌توانند به بررسی‌کنندگان کمک کنند تا بر روی آن عمل کنند.

شرایط فعلی همچنین به محققان می‌گوید که انتظار تماس از طریق یک مشاوره امنیتی GitHub را در عرض ۹۶ ساعت پس از ارسال و تأیید سوزاندن مورد نیاز داشته باشند. این انتظار شامل تماس اولیه است. هیچ مهلتی برای تأیید حمله، آماده‌سازی یک وصله یا استقرار یک اصلاح ارائه نمی‌دهد.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.