為什麼 Solana 的 Firedancer 漏洞報告現在需要銷毀 1 SOL

目錄

• 你可能會想知道
• 主題
• 新條款的原因
• 安全漏洞發現與研究獎勵
• 重點摘要表
• 後續展望……

你可能會想知道

• 為什麼 Firedancer 團隊要求安全研究人員每提交一份漏洞報告，就銷毀 1 SOL？
• 提交費能否減少 AI 生成的垃圾報告，同時仍鼓勵研究人員找出嚴重漏洞？

主題

開發 Firedancer 的團隊為 Solana 網路推出了漏洞報告提交費。Firedancer 是 Solana 網路的替代軟體客戶端。研究人員每提交一份報告，就必須銷毀 1 SOL，價值約 $100。代幣一經銷毀，就會永久退出流通。此措施旨在遏止推測性、重複或無法採用的報告，以免耗費安全工程師的時間。

這項新規反映了漏洞獎勵計畫日益嚴峻的挑戰：人工智慧工具能協助人們快速找出並描述潛在漏洞，但每份提交內容仍需要仔細的人為審查。工程師必須重現報告中的行為、評估所提攻擊是否可行，並確認發現是否為新問題且屬於計畫範圍。因此，報告數量可能會比團隊查證能力增加得更快。

根據週一更新的條款，1 SOL 費用不予退還。即使報告無效、不屬於計畫範圍，或與先前提交的發現重複，研究人員仍會損失這筆費用。未銷毀所需代幣而提交的報告，沒有資格獲得獎勵。這使費用成為參與計畫的必要條件，而非審查未通過後可退還的款項。

交易公司 Jump Crypto 開發了 Firedancer，作為 Agave 的替代方案；Agave 是負責檢查和處理 Solana 交易的電腦所使用的主要軟體。軟體客戶端在維持區塊鏈網路一致性方面扮演關鍵角色。嚴重漏洞可能導致電腦無法處理付款，或使它們對帳戶餘額產生分歧，進而可能中斷交易與轉帳。

這類風險使有效率的安全審查格外重要。工程師必須在弱點遭到利用之前找出真正的問題，但大量重複或不切實際的報告可能會分散他們的注意力。核心問題不只是收到多少報告，而是需要花多少時間，才能從雜訊中辨別出可採取行動的漏洞。

新條款的原因

這項政策是在 4 月 9 日至 5 月 9 日舉行、獎金總額為 $1 million 的稽核競賽之後推出的。競賽收到 162 位研究人員提交的 809 份報告；排除無法利用的觀察結果後，這些報告產生了 127 項獨特的安全發現。有效提交內容中，將近一半與先前回報的發現重複。

Jump 認為，AI 代理協助發現或撰寫了幾乎所有提交內容。這些工具可以協助搜尋程式碼、提出攻擊情境，或將觀察結果整理成結構化報告。然而，生成的文字並不能證明漏洞可被利用。審查者仍須理解相關程式碼，並測試所描述的行為在實際情況下是否成立。

Jump 的 Ishan Bhatt 在 10 月 16 日的一篇檢討文章中寫道：「AI 讓找漏洞變得便宜，但判斷漏洞仍然很昂貴。」這個差異有助於解釋為何要收取費用：產生報告的成本可能很低，但調查報告的成本仍相當可觀。即使報告看起來合理，工程師仍可能需要重現問題、評估其影響，並檢查軟體其他部分是否設有防護措施。

待審查報告一度累積至 299 份。審查速度放緩後，有些研究人員自行重新發現了已經提交、但仍在等待判定或公開的漏洞。重複報告中約有 80% 在原始報告提交超過 three days 後才送達。這些數據顯示，延誤可能形成惡性循環：尚未處理的報告讓研究人員難以判斷哪些是新的發現機會，而重複提交又進一步增加待審查數量。

該競賽原本已對每次提交收取 $100，並限制研究人員每天只能提交一份報告。Jump 表示，收費是為了遏止研究人員大量提交推測性發現，並把查證工作留給工程師。更新後的提交平台也將每個主要報告欄位限制在 3,000 個字元，以鼓勵研究人員提供簡潔、聚焦且可能更容易評估的說明。

這些條件或許有助於減少低品質報告，但也改變了獨立研究的成本效益。研究人員必須衡量找出有效問題並獲得獎勵的機率，與不可退還的 1 SOL 費用之間的利弊。這種取捨可能促使研究人員更仔細準備，但也可能降低資源不足或不確定發現是否為新問題的研究人員參與意願。

安全漏洞發現與研究獎勵

這場競賽確實找出了嚴重漏洞。其中一例是排程錯誤，可能導致 Firedancer 以錯誤順序執行交易。若發生這種情況，Firedancer 對網路最終狀態的判斷可能與其他 Solana 驗證者不同。在一個仰賴參與電腦得出一致結果的系統中，意見分歧可能會損害交易處理的可靠性。

Jump 將提高符合資格的發現獎勵，與新的提交費政策搭配實施。到 Nov. 20 為止，符合資格的報告可獲得標準獎金的兩倍。針對 Alpenglow（Solana 的新投票系統）的漏洞，可獲得標準獎金的三倍。Alpenglow 的重大漏洞發現，獎金最高可達 $300,000。

提高獎勵顯示，這項政策的目的不只是減少報告數量，而是試圖將誘因轉向新穎、可重現且重要的發現。嚴重問題可獲得更高獎金，或許能讓有目標的研究更具吸引力；另一方面，費用則能遏止缺乏信心或佐證的提交。

因此，研究人員要提交有力的報告，不能只指出疑似弱點。報告應說明受影響的行為、提供重現問題的方法，並清楚解釋問題可能如何影響網路。對審查團隊而言，明確的標準與及時的判定仍然重要：即使費用設計完善，也無法單憑費用判定報告是否有效，或確保重大問題能獲得迅速處理。

重點摘要表

後續展望……

Firedancer 的政策凸顯了網路安全領域一個更廣泛的問題：當 AI 讓產生潛在漏洞發現變得更容易，卻未必讓查證變得更容易時，相關計畫應如何調整？提交費、每日提交上限、精簡的報告格式，以及差異化獎勵，都是可能的應對方式。這些措施是否有效，取決於它們能否減少低價值工作，同時不讓有意義的研究變得難以參與。

安全計畫可以考慮投資開發工具，協助分類報告、找出可能的重複內容，以及整理證據供審查者參考。這類系統可運用 AI 協助初步篩選，同時讓最終判斷與可利用性評估由人員監督。明確的揭露流程，以及與研究人員保持一致的溝通，也有助於減少因不確定先前報告是否已收到或處理，而再次提交的情況。

從更廣泛的角度來看，區塊鏈團隊與研究人員需要探討如何衡量報告品質、審查者工作量，以及處理漏洞所需時間。這些指標有助於判斷收費是否改善了安全成效，或只是改變了哪些人有能力參與。長期目標應是建立一套流程，既獎勵可驗證且影響重大的發現，也維持負責任的安全研究能廣泛參與。