솔라나 Firedancer, 버그 신고에 1 SOL 소각 의무화… 첫 신고자 유리

솔라나(Solana) 블록체인의 독립 검증 소프트웨어인 Firedancer가 오는 10월 18일부터 버그 바운티 프로그램 참여 자격을 얻기 위해 1 SOL(솔라나)을 소각하도록 의무화했습니다. 이는 보고된 취약점이 실제 유효하더라도 다른 연구자가 먼저 제출한 경우에도 환불되지 않는 조건입니다. Firedancer는 점프 크립토(Jump Crypto)의 프로젝트로, 이번 정책 변경은 솔라나 생태계의 보안 강화 노력의 일환으로 해석됩니다.

이번 Firedancer의 새로운 정책은 이전 스프링 감사 콘테스트와 비교했을 때, 이후에 발견된 버그에 대한 보상 획득 경로를 더욱 좁혔습니다. 점프 크립토의 이샨 바트(Ishan Bhatt)는 지난 10월 16일 회고록에서 중복 보고 문제가 연구팀의 검토 지연과 관련이 있다고 언급했습니다. 즉, 연구자들이 새로운 버그를 발견하는 동안 이전 보고서에 대한 조치가 지연되면서 중복 보고가 발생했다는 설명입니다.

현재 Firedancer의 정책은 동일하거나 유사한 문제에 대한 첫 번째 제출에 일반적으로 보상을 수여하며, 일부 후속 보고서에 대해서는 재량에 따른 예외적인 보상을 유지할 수 있도록 하고 있습니다. 이는 버그 발견 초기 단계에서 신속한 대응을 유도하고, 최초 보고자에게 인센티브를 제공하려는 의도로 풀이됩니다.

**실제 발견된 버그도 연구자에게는 비용 발생 가능성**

Firedancer의 이전 Immunefi 콘테스트는 2026년 4월 9일부터 5월 9일까지 진행되었습니다. 당시 공개된 규칙에서는 수정되지 않은 버그에 대한 중복 보고서도 보상 대상에 포함된다고 명시했습니다. 수정 사항이 공개된 후에는 새로운 보고서가 무효 처리되었지만, 수정 공개 전에 제출된 보고서는 여전히 유효했습니다.

당시에도 보고서 제출에는 비용이 발생했습니다. 이샨 바트가 10월 16일 작성한 ‘Firedancer 강화’ 회고록에 따르면, 해당 콘테스트는 보고서당 100달러의 수수료를 부과했으며 연구자당 하루 최대 1건의 제출을 제한했습니다. 이번 10월에 적용된 정책은 이전과 다른 수수료 구조와 함께 중복 보고서에 대한 인정 범위를 더욱 좁혔다는 점에서 차이가 있습니다.

Firedancer는 향후 버그 발견 연구자에게 더 큰 영향력이나 더 넓은 범위의 영향력을 입증할 경우 보상을 받을 수 있는 가능성을 열어두고 있습니다. 또한, 불완전한 첫 번째 제출이나 잘못된 가정을 기반으로 한 보고서의 경우, 후속 보고서가 주요 발견으로 간주될 수 있습니다. 연구팀은 높은 품질의 후속 작업에 대해서도 보상을 제공할 수 있습니다.

**신고 자격 요건과 소각 정책의 상세 내용**

Firedancer의 버그 바운티 프로그램은 중복 신고 여부 외에도 다양한 자격 요건을 적용합니다. 공개 저장소에 있는 관련 자료, 코드 주석, 풀 리퀘스트(pull requests), 공개 브랜치에서의 완화 변경 사항 등이 이미 알려진 문제로 간주될 수 있습니다. 또한, 보고서 제출 시점 이전에 존재했던 것으로 입증 가능한 비공개적으로 알려진 문제에 대해서는 개별적으로 검토될 수 있습니다.

기본적인 개념 증명(Proof-of-Concept, PoC) 요건은 허용된 브랜치 및 구성에 대한 재현 가능한 엔드-투-엔드 공격을 보여주어야 하며, 이는 실제적인 영향을 입증해야 합니다. 다만, 명시된 재량에 따른 예외 사항이 적용될 수 있습니다.

신고 양식에는 소각 지갑으로의 비가역적 전송을 설명하는 내용이 포함되어 있습니다. 또한, Firedancer의 정책은 유효하지 않거나 범위를 벗어난 보고서에 대해서도 소각된 SOL을 환불하지 않습니다. 이는 연구자가 부담하는 비용으로, 점프 크립토는 이를 수수료 수익으로 징수하지 않습니다. SOL 소각이 없는 보고서는 검토될 수도 있고 그렇지 않을 수도 있지만, 해당 조건 하에서는 바운티를 받을 수 없습니다.

Firedancer는 보상 프로그램을 계속 운영하면서 일시적으로 보상 금액을 늘리는 방안도 고려하고 있습니다. 이는 잠재적인 버그 발견자들의 참여를 더욱 독려하기 위한 조치로 보입니다. 솔라나 생태계의 성장에 따라 Firedancer와 같은 보안 감사 프로그램의 중요성은 더욱 커질 것으로 예상됩니다. 개발자와 연구자 간의 투명하고 효율적인 소통 채널 구축 및 보안 문제 해결을 위한 지속적인 노력이 요구됩니다.