Đốt 0,5 SOL mới được báo lỗi Alpenglow của Solana

Đội ngũ phát triển cốt lõi Solana(SOL) là Anza vừa chốt quy định chương trình săn lỗi (bug bounty) cho giao thức đồng thuận mới Alpenglow, yêu cầu người báo lỗi phải đốt 0,5 SOL không hoàn lại cho mỗi báo cáo gửi lên. Tổng quỹ thưởng tối đa lên tới 50.000 SOL, nhưng số tiền thực nhận còn tùy vào định dạng báo cáo, mức độ trùng lặp và độ nghiêm trọng của lỗ hổng.

Theo tài liệu quy định trên GitHub, Anza cho biết cửa sổ nhận báo cáo kéo dài từ 1 giờ sáng ngày 6 (giờ Hàn Quốc) đến 1 giờ sáng ngày 20 tháng 8. Báo cáo chỉ được tiếp nhận qua cổng thông tin riêng dành cho Alpenglow, mỗi báo cáo sẽ được đăng ký theo định dạng khuyến nghị bảo mật (security advisory) của GitHub.

Báo cáo gửi qua kênh khác sẽ không được xét thưởng. Cổng nộp báo cáo yêu cầu đốt 0,5 SOL cho mỗi lần gửi, còn tài liệu chính thức không giải thích riêng mục đích chính sách của khoản phí này.

Tiêu chuẩn của đợt bug bounty lần này không nằm ở việc có báo cáo hay không, mà ở việc báo cáo đó có "hợp lệ" hay không. Phạm vi báo cáo chỉ giới hạn ở mã nguồn liên quan đến Alpenglow còn tồn tại trên nhánh master của kho lưu trữ Agave.

Lỗ hổng đã được khắc phục trước thời điểm nộp, hoặc đã từng được công khai qua issue, diễn đàn, Discord hay pull request, sẽ bị coi là nằm ngoài phạm vi. Điều quan trọng ở đây là tình trạng chưa được vá tại thời điểm nộp báo cáo, chứ không phải thời điểm phát hiện ra lỗi.

Mỗi báo cáo chỉ được chứa một lỗ hổng duy nhất. Với các lỗ hổng cùng nguyên nhân gốc, báo cáo nào đáp ứng đủ điều kiện sớm nhất sẽ được ưu tiên, còn báo cáo nộp sau sẽ không được xét thưởng.

Cách "giữ chỗ" bằng báo cáo chưa hoàn chỉnh cũng không được công nhận. Thiết kế này được cho là nhằm giảm báo cáo trùng lặp và tập trung việc thẩm định vào những lỗ hổng có thể tái hiện được.

Bằng chứng khái niệm (proof-of-concept) cũng là yêu cầu bắt buộc. Anza quy định người báo lỗi phải tái hiện lỗ hổng bằng một trong ba cách: fork cục bộ, hạ tầng thử nghiệm đa node (multi-node harness) hoặc mô phỏng.

Việc tấn công trực tiếp vào mainnet hay testnet công khai không được phép. Tiền thưởng sẽ được chi trả sau khi vòng thẩm định kết thúc vào ngày 2 tháng 9, thông qua quy trình xác minh danh tính (KYC), và số SOL nhận được sẽ bị khóa trong 12 tháng.

Quỹ thưởng được mở theo mức độ nghiêm trọng của lỗ hổng hợp lệ cao nhất được xác nhận. Nếu chỉ xác nhận lỗi từ chối dịch vụ (DoS) hoặc lỗi khác, quỹ mở tới 10.000 SOL; mất khả năng khả dụng (availability) nâng mức trần lên 20.000 SOL; vi phạm an toàn đồng thuận (consensus safety) lên 30.000 SOL; và thiệt hại về tài sản (loss of funds) có thể đưa trần quỹ lên tới 50.000 SOL.

Mức thưởng cho từng cá nhân được ấn định trong khoảng: thiệt hại tài sản 6.250-25.000 SOL, vi phạm an toàn đồng thuận 3.125-12.500 SOL, mất khả năng khả dụng 1.250-5.000 SOL, và lỗi từ chối dịch vụ 315-1.250 SOL. Mức trần của toàn bộ quỹ và mức thưởng cho từng cá nhân được thẩm định theo hai quy trình tách biệt.

Alpenglow không đơn thuần là một bản cập nhật tính năng, mà là thay đổi mang tính cấu trúc đối với cơ chế đồng thuận của Solana. Trong bài viết công bố hồi tháng 5 năm 2025, Anza cho biết Alpenglow sẽ loại bỏ TowerBFT và Proof-of-History hiện tại, thay vào đó là thành phần mới có tên Votor.

Tài liệu SIMD-0326 của Solana Foundation cũng mô tả Alpenglow là thay đổi giao thức cốt lõi, thay thế cơ chế đồng thuận hiện hành. Votor được giới thiệu là thành phần thay đổi cách validator bỏ phiếu và cách khối được hoàn tất (finalize).

TokenPost trước đó từng đưa tin về quá trình Solana chuẩn bị cho bản nâng cấp tính chót (finality) và lịch kích hoạt tính năng trên mainnet Agave 4.3. Chương trình bug bounty lần này được xem là bước đưa phần triển khai và tích hợp kỹ thuật ra kiểm chứng công khai, trước khi Solana chính thức thay thế engine đồng thuận.

Trong lộ trình công bố tháng 1 năm 2026, Anza cho biết sẽ tập trung nỗ lực trong quý 3 để đưa Alpenglow từ cụm phát triển (dev cluster) sang mainnet. Vòng thẩm định của chương trình bug bounty Alpenglow dự kiến kết thúc vào ngày 2 tháng 9 năm 2026.

Nguồn tham khảo: Anza RULES.md https://github.com/anza-xyz/alpenglow/blob/master/RULES.md, giới thiệu Alpenglow của Anza https://www.anza.xyz/blog/alpenglow-a-new-consensus-for-solana, lộ trình Anza26 https://www.anza.xyz/blog/anza26, Solana SIMD-0326 https://github.com/solana-foundation/solana-improvement-documents/blob/main/proposals/0326-alpenglow.md