Solana schließt das Bug-Bounty-Programm für das Alpenglow-Upgrade mit 300 Einsendungen ab

Solanas bisher ehrgeizigstes Konsens-Upgrade hat gerade seinen ersten Stresstest bestanden, und die Tester wurden großzügig entlohnt, um es zu sabotieren. Der Alpenglow-Bug-Bounty-Wettbewerb, organisiert von Anza, endete am 19. August nach einem zweiwöchigen Sprint, bei dem mehr als 300 Schwachstellenberichte von Sicherheitsforschern aus der ganzen Welt eingereicht wurden.

Der Prämientopf? Bis zu 50.000 SOL, verteilt je nach Schweregrad der gefundenen Bugs.

Was Alpenglow tatsächlich verändert

Alpenglow ist kein kleines Update. Es ist eine vollständige Neugestaltung des Solana-Konsensmechanismus, der die Transaktionsfinalität von derzeit 12,8 Sekunden auf einen Bereich von 100 bis 150 Millisekunden verkürzen soll.

Das Bug Bounty richtete sich gezielt auf kritische Komponenten im Agave-Validator-Code. Dazu zählen unter anderem Crates, die mit votor, votor-messages, bls-sigverify und anderen Integrationsmechanismen verbunden sind, die das Rückgrat von Alpenglows neuer Voting- und Konsens-Logik bilden. Bemerkenswert ist, dass Alpenglow in früheren Agave-Bug-Bounty-Programmen ausgeschlossen war, sodass dieser speziell fokussierte Wettbewerb die erste groß angelegte, feindliche Sicherheitsprüfung des Protokolls darstellte.

So funktionierte die Prämie

Der Wettbewerb lief vom 5. August bis zum 19. August 2026 über ein spezielles Einreichungsportal, das eine nicht erstattungsfähige Gebühr von 0,5 SOL pro Bericht verlangte. Diese Gebühr diente als Spamfilter, um Einreichungen mit wenig Aufwand zu verhindern, während sie jedem mit ernsthaften Funden die Teilnahme ermöglichte.

Jeder Vulnerability-Report musste privat über GitHub Security Advisories eingereicht werden. Die Bewertungsphase läuft bis zum 2. September, sodass Anza und die Solana Foundation Zeit haben, die Gültigkeit und Schwere jeder Einreichung zu beurteilen.

Die Auszahlungen folgen den bestehenden Bug-Bounty-Richtlinien von Agave; die Belohnungen richten sich danach, wie gefährlich eine gefundene Schwachstelle im Produktivbetrieb wäre. Die vollen 50.000 SOL stehen nur unter bestimmten Bedingungen zur Verfügung, etwa wenn ein verifiziertes Szenario zum Verlust von Geldern führen könnte. Die SOL-Prämien werden für ein Jahr nach Abschluss des Wettbewerbs gesperrt.