Firedancer重複漏洞通報也須銷毀1枚SOL

Firedancer規定，每提交一件安全漏洞通報，就須銷毀1枚Solana（SOL）。即使問題已由其他研究人員先行通報，這筆銷毀的SOL也不會退還。

Firedancer於10月18日生效的漏洞獎勵計畫條款規定，重複、超出審查範圍或無效通報所支付的1枚SOL均不予退還。這筆銷毀不是支付給營運團隊的費用，而是無法收回的成本。未銷毀SOL的報告仍可能接受審查，但不符合獎勵資格。

現行條款原則上將獎勵授予最先通報同一問題或相似變體的人。不過，後續通報若能證明潛在損害更大、攻擊範圍更廣，或指出初始報告的假設有誤，則可能適用例外。團隊也可依後續報告的品質決定是否發放獎勵。因此，即使是獨立發現漏洞，仍可能因受理順序與審查結果而未獲獎勵。

這套標準與春季舉辦的公開審查競賽不同。Immunefi於4月9日至5月9日舉辦的Firedancer V1競賽規則，將同一個尚未修補漏洞的重複通報也列為獎勵對象；只有在修補資訊公開後提交的報告才會被判定無效。

春季競賽每件通報須支付100美元（約新台幣3,250元），且每位研究人員每天最多提交1件。這套標準與現行常設漏洞獎勵計畫條款分開適用。

Jump Crypto在競賽回顧中表示，共有162名研究人員提交809份報告；排除洞察類內容後，獨立安全通報共127件。有效通報中近半數為重複通報，待處理報告一度累積至299份。所有重複通報中，約80%是在第一份報告提交超過3天後才送出。

Jump Crypto表示，初期審查延遲期間，其他研究人員與AI工具重新發現了尚未修補、也尚未公開的問題。公司認為，AI降低了撰寫報告的成本，但人工確認內容的負擔並未減輕。審查延遲影響重複通報增加，是公司的事後分析。

除了銷毀1枚SOL，Jump Crypto也在常設漏洞獎勵計畫中採用各報告欄位的字數限制，以及AI初步分類。公司尚未公布引入銷毀1枚SOL的規定後，通報數量、有效通報比例、重複率或審查時間有何變化。

Firedancer是Solana的獨立驗證者客戶端。驗證者客戶端是用來檢查交易與區塊的軟體。TokenPost先前報導，Coinbase（$COIN）營運包括Firedancer在內的4種客戶端。

現行條款指出，提交與SOL銷毀獲確認後，通報者預計會在96小時內透過GitHub安全公告收到首次聯繫。這不代表漏洞驗證或修補必須在該期限內完成。符合資格的通報在11月20日前可獲得一般標準兩倍的獎勵，與Alpenglow相關的通報則適用三倍獎勵。