Firedancer đốt 1 SOL cho mỗi báo cáo lỗ hổng, kể cả báo cáo trùng

Firedancer đốt 1 Solana (SOL) cho mỗi báo cáo lỗ hổng bảo mật, kể cả khi một nhà nghiên cứu khác đã báo cáo vấn đề đó trước. Số SOL đã đốt sẽ không được hoàn lại.

Điều khoản chương trình thưởng lỗi của Firedancer có hiệu lực từ ngày 18 tháng 10 quy định không hoàn lại 1 SOL đã dùng cho các báo cáo trùng lặp, nằm ngoài phạm vi đánh giá hoặc không hợp lệ. Đây là khoản chi phí không thể thu hồi, không phải phí mà nhóm vận hành nhận được. Báo cáo không kèm việc đốt SOL vẫn có thể được xem xét, nhưng không đủ điều kiện nhận thưởng.

Điều khoản hiện hành về nguyên tắc ưu tiên thưởng cho người đầu tiên báo cáo cùng một vấn đề hoặc biến thể tương tự. Tuy nhiên, báo cáo tiếp theo có thể được xem là ngoại lệ nếu chứng minh được nguy cơ thiệt hại lớn hơn, phạm vi tấn công rộng hơn hoặc giả định trong báo cáo đầu tiên là sai. Nhóm cũng có thể quyết định trao thưởng nếu đánh giá cao chất lượng báo cáo sau. Vì vậy, ngay cả khi tự phát hiện lỗ hổng, nhà nghiên cứu vẫn có thể không nhận được thưởng tùy theo thứ tự tiếp nhận và kết quả đánh giá.

Tiêu chí này khác với cuộc thi kiểm tra công khai diễn ra vào mùa xuân. Thể lệ cuộc thi Firedancer V1 do Immunefi tổ chức từ ngày 9 tháng 4 đến ngày 9 tháng 5 vẫn chấp nhận báo cáo trùng về cùng một lỗi chưa được sửa để xét thưởng. Chỉ những báo cáo gửi sau khi việc sửa lỗi được công khai mới bị xem là không hợp lệ.

Cuộc thi mùa xuân áp dụng khoản phí 100 USD (khoảng 132.500 won) cho mỗi báo cáo và giới hạn mỗi nhà nghiên cứu gửi tối đa một báo cáo mỗi ngày. Các tiêu chí này được áp dụng riêng, không thuộc điều khoản chương trình thưởng lỗi thường trực hiện nay.

Trong bài tổng kết cuộc thi, Jump Crypto cho biết 162 nhà nghiên cứu đã gửi 809 báo cáo, trong đó có 127 báo cáo bảo mật độc lập, không tính các thông tin chi tiết bổ sung. Gần một nửa số báo cáo hợp lệ bị trùng lặp; số báo cáo chưa được xử lý có lúc lên tới 299. Khoảng 80% tổng số báo cáo trùng được gửi muộn hơn báo cáo đầu tiên trên ba ngày.

Jump Crypto giải thích rằng trong thời gian khâu đánh giá ban đầu bị chậm, các nhà nghiên cứu khác và công cụ AI đã tìm lại những vấn đề chưa được sửa hoặc công khai. Công ty nhận định AI giúp giảm chi phí viết báo cáo, nhưng không làm giảm khối lượng công việc con người phải bỏ ra để kiểm tra nội dung. Nhận định rằng chậm trễ trong khâu đánh giá góp phần làm tăng báo cáo trùng là phân tích sau cuộc thi của công ty.

Ngoài yêu cầu đốt 1 SOL, Jump Crypto còn áp dụng giới hạn số ký tự cho từng mục trong báo cáo và dùng AI để phân loại sơ bộ các báo cáo gửi đến chương trình thường trực. Công ty chưa đưa ra số liệu về thay đổi trong số lượng báo cáo, tỷ lệ báo cáo hợp lệ, tỷ lệ trùng lặp hoặc thời gian đánh giá sau khi áp dụng yêu cầu đốt 1 SOL.

Firedancer là một phần mềm máy khách trình xác thực độc lập của Solana. Máy khách trình xác thực là phần mềm dùng để xác minh giao dịch và khối. TokenPost trước đây đưa tin Coinbase (COIN) vận hành bốn máy khách, trong đó có Firedancer.

Theo điều khoản hiện hành, sau khi xác nhận báo cáo và việc đốt SOL, người gửi dự kiến nhận được liên hệ đầu tiên qua khuyến cáo bảo mật trên GitHub trong vòng 96 giờ. Mốc này không phải thời hạn xác minh lỗ hổng hoặc hoàn tất việc sửa lỗi. Đến ngày 20 tháng 11, phần thưởng cho báo cáo đủ điều kiện bằng hai lần mức thông thường; báo cáo liên quan đến AlpenGlow được áp dụng mức gấp ba.