TL;DR
- L'équipe Firedancer a introduit une récompense de 1 Solana (SOL) pour chaque rapport de vulnérabilité. Les jetons doivent être brûlés et ne peuvent pas être récupérés, même si la soumission est rejetée.
- La décision a suivi un concours de sécurité qui a reçu 809 rapports provenant de 162 chercheurs. Jump Crypto estime que l'IA a été impliquée dans la préparation de presque tous ceux-ci.
- Le programme doublera les récompenses pour les vulnérabilités valides jusqu'au 20 novembre. Les bogues liés à Alpenglow recevront des paiements triplés, avec des récompenses pouvant atteindre 300 000 $ pour les découvertes critiques.
L'équipe derrière Firedancer, un client de validateur Solana, a commencé à exiger que les chercheurs en sécurité brûlent 1 SOL pour chaque rapport de vulnérabilité qu'ils soumettent. Ce frais, d'une valeur d'environ 100 $, vise à réduire les rapports dupliqués ou mal étayés, nombreux étant générés par l'intelligence artificielle.
Les jetons doivent être définitivement retirés de la circulation. Les frais ne sont pas remboursables, même si le rapport est invalide, dépasse le cadre du programme ou décrit un bug déjà identifié. Les chercheurs qui ne brûlent pas les jetons ne seront pas éligibles aux récompenses.
Firedancer a été développé par Jump Crypto comme alternative à Agave, le logiciel principal utilisé par les validateurs Solana. Une vulnérabilité sérieuse pourrait provoquer des perturbations dans le traitement des transactions ou des désaccords entre validateurs sur l'état du réseau.
Solana reçoit des centaines de rapports de sécurité assistés par l'IA
Entre le 9 avril et le 9 mai, Jump a organisé un concours d'audit de sécurité offrant 1 million de dollars de récompenses. Au total, 162 chercheurs ont participé, en soumettant 809 rapports. Après examen des soumissions, l'équipe a identifié 127 vulnérabilités uniques, en excluant les découvertes non exploitables.
Près de la moitié des rapports valides étaient des doublons. Jump estime que des outils d'intelligence artificielle ont été utilisés pour découvrir ou rédiger pratiquement chaque soumission.
Le backlog a atteint 299 signalements en attente de revue. Environ 80 % des signalements dupliqués ont été soumis plus de trois jours après le premier signalement de la même vulnérabilité.
La compétition exigeait déjà une frais de 100 $ par soumission et limitait les participants à un rapport par jour. La nouvelle plateforme impose également une limite de 3 000 caractères par section principale.
Firedancer augmente les récompenses pour les bogues critiques
La vérification a révélé des problèmes graves, notamment un bogue de planification pouvant modifier l'ordre d'exécution des transactions et provoquer un désaccord entre les validateurs Solana sur l'état résultant du réseau.
Jump a également décidé d'augmenter les incitations pour les chercheurs. Jusqu'au 20 novembre, les vulnérabilités valides recevront deux fois la récompense standard.
Les bogues spécifiques à Alpenglow, le nouveau système de vote de Solana, donneront droit à des récompenses triplées. Les récompenses pour les découvertes les plus critiques pourraient atteindre 300 000 $.