Solana 的 Alpenglow 漏洞獵捕向研究人員收取 0.5 SOL 以報告缺陷

Anza 向安全研究人員收取不可退還的 0.5 SOL，以提交每個 Alpenglow 的發現，截止時間為 8 月 19 日 16:00 UTC。

規則要求每個發現必須通過指定的入口提交，這會燃燒費用並創建一個保密的 GitHub 安全建議。通過其他渠道提交的報告將不符合資格。

目標是重要的。SIMD-0326 提議 Alpenglow 作為 Solana 當前的歷史證明和 TowerBFT 共識協議的向後不兼容替代方案。Anza 將新的共識組件、其驗證者整合和遷移路徑納入了獎金的臨時範圍內。

研究人員在 Anza 確定有效性、嚴重性、重複性或獎勵之前支付提交費用。他們還必須針對 Agave master 的移動版本進行工作。每份報告必須確定缺陷出現的提交，並在那裡重現問題，並在缺陷仍未修復的情況下提交。

概念驗證要求和提交燃燒可以減少佔位符提交。它們還可以排除影響或優先級不確定的有效發現。已發布的規則中沒有參與或報告質量的衡量標準來解決這一權衡。

競賽概述表示，Alpenglow 在開發、單一代碼庫遷移和內部審計階段期間被排除在 Agave 的現有獎金之外。為期兩週的競賽開放了一組列舉的 Alpenglow 代碼，包括 Votor 投票引擎、投票和證書消息、BLS 簽名和證書驗證、TowerBFT 遷移路徑以及指定的驗證者整合表面。

仍然存在幾個邊界。公共或先前披露的問題不符合資格。已知問題、測試代碼、第三方加密依賴和普通的僅 TowerBFT 路徑也被排除。研究人員必須在本地分支、多節點工具或模擬中展示發現；主網和公共測試網攻擊是未經授權的。

優先級取決於證據，而不僅僅是時間戳。最早滿足 Anza 評估的嚴重性概念驗證標準的報告將獲得該根本原因的獎勵。佔位符不保留任何東西。後來的重複報告不會獲得任何獎勵，除非其中一個證實了嚴重性評估的明顯提高。

當修復到達 Agave master 時，資格結束。因此，即使研究人員在早期的提交中重現了缺陷，報告也可能在競賽期間失去支付的機會。

根據 Alpenglow 規則，廣告的 50,000 SOL 是最大的總池，僅由最高的嚴重性解鎖：

個別獎勵使用較小的範圍。資金損失的發現獲得 6,250 到 25,000 SOL，共識或安全違規獲得 3,125 到 12,500 SOL，活性發現獲得 1,250 到 5,000 SOL，DoS 發現獲得 315 到 1,250 SOL。

如果總獎勵超過解鎖池，Anza 將按比例減少獎勵。較少或較小的發現可能會使部分池未支付。即使是資金損失的結果也會解鎖預算，而不會將任何單一獎勵提高到 25,000 SOL 以上。

支付在 9 月 2 日裁決結束後進行，並需要 KYC。獎勵是以 SOL 的一次性支付，根據現有的 Agave 獎金條款鎖定 12 個月。提交燃燒是立即的；補償取決於後續裁決，並在一年內保持不流動。

Alpenglow 獎金涵蓋共識遷移。

Alpenglow 的 Votor 組件使用基於 BLS 的投票和證書聚合與驗證。公證、跳過、最終確定和公證回退證書需要 60% 的股份，而快速最終確定需要 80%。初始設計保留 Turbine 用於數據傳播。

該提案定義了一個 20+20 的安全模型，具有 40% 的崩潰故障彈性。它將實施風險標記為主要缺點，稱遷移具有挑戰性，並表示新的投票邏輯與其前身不兼容。

Anza 包括了核心共識庫和處理證書、獎勵和最終狀態的驗證者代碼。TowerBFT 的交接也符合資格，將舊邏輯和新邏輯之間的連接與 Votor 本身一起審查。

官方規則和概述在 8 月 18 日檢查時仍列出 8 月 19 日為截止日期，兩個頁面上都沒有延長通知。提交窗口的結束不會啟動 Alpenglow 或完成遷移。

保密性也將截止日期與任何公共結果分開。發現保持私密，直到其修復發佈。等待主網啟用的代碼可以在修復合併並相關功能門啟用之前保持禁運。

在 8 月 19 日之後的空公共記錄不會透露任何有關建議數量的信息。在裁決之前，披露的經濟學講述了故事：0.5 SOL 首先離開研究人員的錢包，證據決定優先級，只有證實的資金損失缺陷才能開啟完整的池。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。