Разработчики Anza завершили конкурс по поиску уязвимостей в новом механизме консенсуса Solana. Призовой фонд — до 50 тысяч SOL, около 3,8 миллиона долларов. Но чтобы отправить отчёт, исследователь должен был сжечь 0,5 SOL — и эти деньги не возвращаются, даже если находка окажется настоящей.

Коротко: как был устроен конкурс

Приём заявок шёл с 5 по 19 августа. Проверялся код Alpenglow — замены механизмов Proof-of-History и TowerBFT, на которых Solana работает сейчас.

Плата за подачу — 0,5 SOL за каждый отчёт, сжигается в момент отправки. Решение о том, годится находка или нет, принимается позже: рассмотрение назначено до 2 сентября, затем следует проверка личности получателя.

Выплаты идут единовременной суммой в SOL и блокируются на двенадцать месяцев. Публичного объяснения, зачем нужна плата за подачу, разработчики не давали.

Сколько платят за находки

Заявленные 50 тысяч SOL — верхняя граница, которая раскрывается только при находке самой тяжёлой категории. Если критических дыр не нашли, фонд остаётся меньшим.

Что именно проверяли

В область поиска вошли компоненты голосования Votor, сообщения и сертификаты голосов, проверка подписей BLS, а также путь миграции с TowerBFT и точки интеграции валидаторов.

Alpenglow меняет саму механику согласия узлов: вместо цепочки отметок времени используется агрегация голосов на подписях BLS, обычная финализация требует 60% стейка, ускоренная — 80%. Заявленный эффект — сокращение времени финальности примерно с 12,8 секунды до 150 миллисекунд.

Что осталось за рамками: публично известные проблемы, тестовый код, сторонние криптографические библиотеки и любые атаки на основную сеть. Завершение конкурса не означает включения Alpenglow — активация в основной сети ожидается отдельно, ориентировочно в октябре.

Почему плата за отчёт меняет экономику поиска

Насколько я это вижу, здесь перевёрнуто привычное распределение издержек.

Обычно исследователь вкладывает время, а платформа несёт расходы на разбор потока мусорных заявок. Плата за подачу переносит часть этих расходов на того, кто ищет: он платит до того, как кто-либо оценил находку, и ждёт вердикта неделями. Награда, если она будет, заморожена ещё на год.

Для организованной команды 0,5 SOL — незаметная величина. Для одиночного исследователя из страны с невысокими доходами, у которого есть сомнительная, но потенциально важная находка, это уже осознанный выбор: платить или промолчать.

И вот здесь возникает риск, который трудно измерить. Отсекается не только шум, но и пограничные отчёты — а серьёзные уязвимости редко выглядят серьёзными в момент подачи. История отрасли полна случаев, когда критическая дыра начиналась с наблюдения, которое сам автор считал мелочью.

Показателен контраст: индустрия ищет способы удешевить поиск дыр — например, Kraken запустил ИИ для аудита собственного кода. Anza же делает внешний поиск платным для исследователя. Обе стратегии решают одну задачу — фильтрацию потока, — но вторая перекладывает цену ошибки на того, у кого меньше ресурсов.

Что дальше у сети

Alpenglow — часть большой перестройки. Параллельно Solana удешевила хранение данных в десять раз, а сообщество прошло через спор о доходах валидаторов, где операторы проголосовали против собственной выгоды.

Переход на новый консенсус — самое рискованное из этих изменений: ошибка в согласии узлов не ограничивается одним приложением, а затрагивает всю сеть. Отсюда и размер фонда, и жёсткость правил.

Частые вопросы

Сколько стоило подать отчёт?

0,5 SOL за каждый. Плата сжигается при отправке и не возвращается независимо от того, признают находку или нет.

Каков был призовой фонд?

До 50 тысяч SOL, около 3,8 миллиона долларов. Полная сумма раскрывалась только при находке категории «потеря средств».

Когда выплатят награды?

Рассмотрение назначено до 2 сентября, после чего проходит проверка личности. Выплаты блокируются на двенадцать месяцев.

Что такое Alpenglow?

Новый механизм консенсуса Solana, заменяющий Proof-of-History и TowerBFT. Финализация ускоряется примерно с 12,8 секунды до 150 миллисекунд.

Значит ли завершение конкурса, что обновление включат?

Нет. Активация в основной сети — отдельный шаг, ожидается ориентировочно в октябре.

Что не принимали к рассмотрению?

Публично раскрытые проблемы, тестовый код, сторонние криптобиблиотеки и атаки на работающую основную сеть.

Источники

Материал подготовлен на основе разбора CryptoSlate и Solana Compass.