Jump Crypto 旗下 Solana 驗證器客戶端 Firedancer 於二零二六年十月二十六日生效的漏洞賞金條款規定，每份報告須永久銷毀（burn）1 SOL 才具賞金資格，即使重複、超出範圍或無效亦不予退還；Jump 於十月十六日回顧春季一百萬美元公開審計競賽時指出，三十日內收到八百零九份報告、僅得一百二十七項獨特安全發現，並相信幾乎每份皆由 AI 代理協助發現或撰寫，「找漏洞變便宜、判斷仍昂貴」。來源真實性已驗證。

Jump Crypto／Firedancer／官方：漏洞報告須燒 1 SOL 防 AI 刷量——春季競賽八百零九份僅一百二十七獨特；Alpenglow 關鍵最高約三十萬美元

Jump Crypto 為獨立 Solana 驗證器客戶端 Firedancer 營運公開漏洞賞金平台。面對 AI 代理大量產出冗長、重複報告的壓力，團隊把「提交費」改為鏈上永久銷毀 SOL，並同步以加倍／三倍賞金鼓勵高品質、尤其針對 Alpenglow 共識的發現。CoinDesk 等於十月二十七日跟進報道。本文只採用賞金條款頁、Jump Crypto《Hardening Firedancer》與可核對的媒體數字，不把未寫明的金額或威脅歸因寫成事實。

一、核心事件

1. 新條款：燒幣才有賞金

bounty.firedancer.io/terms 標明版本生效日為 二零二六年十月二十六日。重點包括：

1. 每份報告須銷毀 SOL 防垃圾：未附 burn 的報告「或會或不會審閱」，但不得領取賞金。
2. 1 SOL 提交費不可退還：條款明文寫明，即使屬重複、超出範圍或無效報告，費用亦不退。
3. 加倍與 Alpenglow 三倍：至二零二六年十一月二十日前，合資格報告按嚴重度獲標準區間的兩倍；專屬 Alpenglow 的發現為三倍。標準區間例如 Critical 約五萬至十萬美元，經 3x 後約十五萬至三十萬美元。
4. 篇幅上限與分流：Jump 回顧指平台對主要報告欄位設約三千字元上限；確認 burn 後，預期於九十六小時內在 GitHub Security Advisory（GHSA）回應。

2. 春季競賽為何逼出「燒幣」

Jump Crypto 工程師 Ishan Bhatt 於二零二六年十月十六日發表《Hardening Firedancer》，總結四月九日至五月九日、獎池最高一百萬美元的公開審計競賽（經 Immunefi）：

Jump 寫明相信「幾乎每一份」提交皆由代理協助發現或撰寫，並引用產業同向現象（例如公開賞金／修補量級暴增）。競賽期間已收 每份一百美元 提交費並限每日一份，但量仍失控；新平台改以 1 SOL burn 把成本留給提交方，而非讓 triage 團隊免費消化 AI 噴發。

3. 競賽亦挖出真實高危

官方舉例包括調度不變式破壞：可使 Firedancer 以錯誤次序執行交易，並與其他客戶端產生共識分歧（評為 High，因可遠端觸發但不足以精準造成可預測的嚴重資金損害）。亦即：問題不只是「假報告多」，而是真漏洞與 AI 刷量混在同一隊列。

二、技術原理：為何 AI 讓找洞便宜、判斷仍貴

1. 代理擅長「有對照」的差異性檢查：Jump 指代理善於對照 Firedancer 與 Agave 對應元件、或對照明文不變量，快速標出缺漏檢查；同類變體一旦進入上下文亦容易連鎖發現。
2. 假陽性多來自隱式協議常識：大量誤報假設孤立元件行為，忽略 Solana 業務邏輯中「對工程師顯而易見」的上游保證（例如未確認狀態窗口內不可能出現多個 epoch 邊界）。
3. 隊列延遲製造重複海嘯：未及時 triage／披露時，其他代理會「重新發現」同一洞；約八成重複晚於原報告三日以上。燒幣＋加快初篩＋文件化不變量，是把信號噪比拉回可營運區間的配套。
4. Firedancer 安全模型本身偏隔離：官方描述以沙箱 tile、預配置記憶體、seccomp／Landlock 等限制單一 tile 被攻破後的爆炸半徑；賞金範圍亦收窄到指定設定與遠端攻擊者模型，降低「配置奇技」類低價值報告。

四、日常應用場景

1. 開發者與技術團隊

若團隊用 AI 代理做靜態分析或自動開 PR／交賞金，應假設對方 triage 成本不會自動下降：宜強制可重現 PoC、對照官方 scope、避免千字空話。企業自建漏洞接收箱時，可參考 Firedancer：提交押金／速率限制、欄位長度上限、以及「先代理摘要再人工」的兩段 triage。

2. 企業與隱私敏感行業

香港金融、交易所與託管相關系統若對外收白帽報告，AI 刷量會直接變成資安人力與法務成本。應預先定義範圍、KYC／制裁篩查（Firedancer 條款亦要求領獎前完成 KYC），並把代理人提交與人類提交分開計量，以免合規審計被垃圾隊列拖垮。

3. 一般用戶

一般持幣或使用 Solana 應用的用戶無需自行 burn SOL；這是研究員參與 Firedancer 賞金的門檻。真正與用戶相關的是：獨立客戶端與公開賞金仍在強化網路，但披露節奏可能因 triage 策略而變，安全更新仍須跟官方客戶端發佈。

4. 香港與亞洲市場視角

香港虛擬資產平台、支付與代幣化項目常見「AI 輔助審計＋公開賞金」組合。Firedancer 的教訓是：代理可以壓低發現成本，但不能替代可問責的驗證與修復排程。本地團隊若為客戶建 Web3 節點、橋或託管周邊，應把「AI 產出的漏洞主張」納入變更管理：證據等級、重複合併、以及與主網／測試網披露窗口對齊，避免未修洞被重複公開放大。

五、專業評價與潛在考量

可核對的重點

• 主源為 Firedancer 賞金條款（生效 2026-10-26）與 Jump Crypto 官方長文（2026-10-16）；CoinDesk 等於 2026-10-27 報道屬第二層傳播。
• 809／162／127、近半重複、積壓 299、80% 三日後重複、報告變長、1 SOL 不可退還、至 11 月 20 日 2x／Alpenglow 3x 及 Critical 上限約三十萬美元，均可在上述來源對上。
• 條款同時保留團隊對嚴重度與資格的最終裁量，並排除大量協議層／配置層噪音。

需要留意的地方

• 「幾乎每份皆 AI」屬 Jump 團隊判斷，並非逐份取證清單；報道應保留為官方表述而非獨立鑑定。
• CoinDesk 以「約一百美元」形容 1 SOL，屬當時市況換算，價格會變；制度核心是永久銷毀，不是法幣定價。
• 燒幣門檻可能排擠部分獨立研究員，同時抬高認真提交的預期品質；實際能否長期壓低假陽性，仍取決於 triage 自動化與文件化不變量是否跟上。
• 本賞金範圍不含 Frankendancer／fdctl、亦不含應向上游 Agave 報告的協議層問題——讀者勿把 Firedancer 政策誤讀為整個 Solana 生態統一規則。

結語

Firedancer 以「燒 1 SOL 才有賞金資格」回應 AI 時代的漏洞報告洪峰：春季競賽用數字證明找洞變便宜之後，真正稀缺的是可驗證的判斷與修復產能。對香港 Web3 與金融科技團隊而言，重點不是模仿燒幣本身，而是把代理產出納入可審計的接收、分級與修復流水線。

若香港企業需要建設或加固鏈上產品、節點與智能合約周邊的開發與安全流程，可參考 YSK Limited 的 香港 Web3 區塊鏈開發 服務頁。

參考來源

1. Firedancer Bug Bounty Terms & Conditions（Version effective: 2026-10-26）— https://bounty.firedancer.io/terms
2. Jump Crypto，Ishan Bhatt，《Hardening Firedancer》（2026-10-16）— https://jumpcrypto.com/resources/hardening-firedancer
3. CoinDesk，Shaurya Malwa，《Solana bug reports now cost 1 SOL as AI floods security teams with spam》（2026-10-27）— https://www.coindesk.com/tech/2026/10/27/solana-bug-reports-now-cost-1-sol-as-ai-floods-security-teams-with-spam
4. Firedancer Bug Bounty Submission（平台說明／獎勵加成提示）— https://bounty.firedancer.io/