Solana的Alpenglow漏洞猎杀活动要求研究人员支付0.5 SOL报告缺陷

Anza要求安全研究人员在8月19日16:00 UTC之前提交每个Alpenglow发现时支付不可退还的0.5 SOL。

规则要求每个发现必须通过指定的门户提交，该门户会燃烧费用并创建一个机密的GitHub安全咨询。通过其他渠道发送的报告不符合资格。

目标是至关重要的。SIMD-0326提议将Alpenglow作为Solana当前的历史证明和TowerBFT共识协议的向后不兼容替代品。Anza已将新的共识组件、验证者集成和迁移路径纳入赏金的临时范围内。

研究人员在Anza确定有效性、严重性、重复性或奖励之前支付提交费用。他们还需要在Agave主分支的不断变化的版本上进行工作。每份报告必须识别缺陷出现的提交，重现该问题，并在缺陷仍未修复的情况下提交。

概念验证要求和提交费用的燃烧可以减少占位符提交。它们还可以排除影响或优先级不确定的有效发现。发布的规则中没有参与或报告质量的衡量标准来解决这种权衡。

竞赛概述表示，Alpenglow在开发、单一代码库迁移和内部审计阶段被排除在Agave的现有赏金之外。为期两周的竞赛开放了一组列举的Alpenglow代码，包括Votor投票引擎、投票和证书消息、BLS签名和证书验证、TowerBFT迁移路径以及指定的验证者集成表面。

仍然存在几个边界。公开或先前披露的问题不符合资格。已知问题、测试代码、第三方加密依赖和普通的TowerBFT路径也被排除在外。研究人员必须在本地分叉、多节点测试或模拟中展示发现；主网和公共测试网的攻击是未经授权的。

优先级取决于证据，而不仅仅是时间戳。满足Anza评估的严重性标准的最早报告将获得该根本原因的奖励。占位符不保留任何权利。后来的重复报告不会获得任何奖励，除非其中一个报告证明了更高的评估严重性。

资格在修复到达Agave主分支时结束。因此，即使研究人员在窗口内的早期提交中重现了缺陷，报告在竞赛期间也可能失去支付机会。

根据Alpenglow规则，广告的50,000 SOL是最大的总池，仅在最高严重性时解锁：

个人奖励使用较小的范围。资金损失发现获得6,250到25,000 SOL， 共识或安全违规获得3,125到12,500 SOL，活性发现获得1,250到5,000 SOL，DoS发现获得315到1,250 SOL。

如果总奖励超过解锁池，Anza将按比例减少奖励。较少或较小的发现可能会导致部分池未支付。即使是资金损失的结果也会解锁预算，而不会将任何单一奖励提高到25,000 SOL以上。

支付将在9月2日裁决结束后进行，并进行KYC。奖励以SOL的形式一次性支付，按照现有Agave赏金条款锁定12个月。提交费用立即燃烧；补偿取决于后续裁决，并在一年内保持流动性不足。

Alpenglow赏金涵盖共识迁移。

Alpenglow的Votor组件使用基于BLS的投票和证书聚合与验证。公证、跳过、最终确定和公证回退证书需要60%的股份，而快速最终确定需要80%。初步设计保留Turbine用于数据传播。

该提案定义了一个20+20的安全模型，具有40%的崩溃故障弹性。它将实施风险标记为主要缺点，称迁移具有挑战性，并指出新的投票逻辑与其前身不兼容。

Anza包括了核心共识库和处理证书、奖励和最终状态的验证者代码。TowerBFT的交接也符合资格，将旧逻辑和新逻辑之间的连接与Votor本身一起审查。

官方规则和概述在8月18日检查时仍将8月19日列为截止日期，且在任何页面上没有延长通知。提交窗口的关闭不会激活Alpenglow或完成迁移。

保密性也将截止日期与任何公共结果分开。发现保持私密，直到其修复发布。等待主网激活的代码可以在修复合并和相关功能门激活之前保持禁运。

在8月19日之后的空公共记录不会透露任何关于咨询数量的信息。在裁决之前，披露的经济学讲述了这个故事：0.5 SOL首先离开研究人员的钱包，证据决定优先级，只有经过证实的资金损失缺陷才能打开整个池。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。