파이어댄서, 중복 취약점 제보에도 1 SOL 소각

파이어댄서(Firedancer)는 보안 취약점 제보 1건마다 솔라나(SOL) 1개를 소각하도록 했다. 다른 연구자가 먼저 신고한 문제여도 소각분은 돌려주지 않는다.

파이어댄서의 10월 18일 시행 바운티 약관은 중복·심사 범위 밖·무효 제보에 사용한 1 SOL을 환불하지 않는다고 정했다. 소각은 운영팀이 받는 수수료가 아니라 회수할 수 없는 비용이다. SOL을 소각하지 않은 보고서도 검토될 수 있지만 보상 대상에서는 제외된다.

현행 약관은 같은 문제나 유사한 변형을 먼저 제보한 사람에게 보상하는 것을 원칙으로 삼는다. 다만 후속 제보가 더 큰 피해 가능성이나 넓은 공격 범위를 입증하거나 최초 보고서의 가정이 잘못된 경우에는 예외가 적용될 수 있다. 팀이 후속 보고서의 품질을 높게 평가해 보상을 결정할 수도 있어, 독자적으로 취약점을 발견해도 접수 순서와 심사 결과에 따라 보상을 받지 못할 수 있다.

이 기준은 봄에 열린 공개 검토 대회와 다르다. 면역파이(Immunefi)가 4월 9일부터 5월 9일까지 운영한 파이어댄서 V1 대회 규칙은 수정되지 않은 동일 버그의 중복 제보도 보상 대상으로 인정했다. 수정 사실이 공개된 뒤 제출한 보고서만 무효로 처리했다.

봄 대회에는 제보당 100달러(약 13만2500원)의 비용과 연구자 1인당 하루 1건의 제출 제한이 있었다. 이 기준은 현행 상시 바운티 약관과 별도로 적용됐다.

점프크립토(Jump Crypto)는 대회 회고에서 연구자 162명이 보고서 809건을 제출했고, 인사이트를 제외한 고유 보안 제보는 127건이었다고 밝혔다. 유효한 제보 가운데 거의 절반이 중복이었고, 미처리 보고서는 한때 299건까지 쌓였다. 전체 중복 제보의 약 80%는 첫 보고보다 3일 넘게 늦게 제출됐다.

점프크립토는 초기 검토가 늦어지는 동안 아직 수정·공개되지 않은 문제를 다른 연구자와 AI 도구가 다시 찾아냈다고 설명했다. 회사는 보고서 작성 비용은 AI로 낮아졌지만 사람이 내용을 확인하는 부담은 줄지 않았다고 평가했다. 검토 지연이 중복 증가에 영향을 줬다는 설명은 회사의 사후 분석이다.

점프크립토는 상시 바운티에 1 SOL 소각 외에도 보고서 항목별 글자 수 제한과 AI 기반 1차 분류를 적용했다. 1 SOL 소각 도입 뒤 제보 건수나 유효 제보 비율, 중복률, 검토 시간에 어떤 변화가 있었는지는 제시되지 않았다.

파이어댄서는 솔라나의 독립 검증자 클라이언트다. 검증자 클라이언트는 거래와 블록을 확인하는 소프트웨어다. 코인베이스($COIN)가 파이어댄서를 포함한 4개 클라이언트를 운영한다고 앞서 보도했다.

현행 약관은 제출과 소각이 확인되면 96시간 안에 깃허브(GitHub) 보안 권고를 통해 첫 연락을 받을 것으로 안내한다. 이는 취약점 검증이나 수정 완료 기한을 뜻하지 않는다. 적격 제보의 보상은 11월 20일까지 통상 기준의 두 배이며, 알펜글로 관련 제보에는 세 배가 적용된다.