Solana lässt einen zentralen Teil seines geplanten neuen Konsenssystems Alpenglow von externen Sicherheitsforschern angreifen – kontrolliert, privat und gegen eine mögliche Belohnung von bis zu 50.000 SOL. Die Schlagzeile klingt nach Jackpot. Die Regeln zeigen allerdings: Die Höchstsumme ist eine Obergrenze und wird nur bei besonders schweren, gültig nachgewiesenen Funden freigeschaltet.
Veranstalter ist Anza, das Entwicklerunternehmen hinter dem Agave-Validatorclient. Der Wettbewerb läuft vom 5. August um 16:00 Uhr UTC bis zum 19. August um 16:00 Uhr UTC. Im Fokus steht der Alpenglow-Konsenscode auf dem jeweils aktuellen master-Stand von Agave. Auch Änderungen, die während des Wettbewerbs eingebaut werden, können geprüft werden.
Die Poolhöhe richtet sich nach dem schwersten bestätigten Fund. Werden ausschließlich Denial-of-Service-Probleme oder andere qualifizierte Fehler gefunden, liegt die Obergrenze bei 10.000 SOL. Ein Problem, das die Verfügbarkeit des Konsens gefährdet, kann 20.000 SOL freischalten. Bei einer Konsens- oder Sicherheitsverletzung steigt die Grenze auf 30.000 SOL. Erst ein gültiger Fund mit nachgewiesenem Verlust-von-Geldern-Risiko öffnet den maximalen Pool von 50.000 SOL.
Auch dann bekommt ein einzelner Forscher nicht automatisch 50.000 SOL. Für jede Kategorie gelten eigene Vergütungsbereiche. Bei einem Fund mit möglichem Geldverlust sind beispielsweise 6.250 bis 25.000 SOL vorgesehen. Mehrere gültige Funde teilen sich den freigeschalteten Pool; übersteigen die Einzelprämien die Obergrenze, werden sie anteilig gekürzt.
Die Teilnahme ist streng geregelt. Jeder Bericht muss einen reproduzierbaren Nachweis enthalten und über das offizielle Portal als private GitHub-Sicherheitsmeldung eingereicht werden. Öffentliche Veröffentlichungen sind nicht vergütungsfähig. Tests gegen Solanas Mainnet oder ein öffentliches Testnet sind ausdrücklich verboten. Stattdessen müssen lokale Forks, Mehrknoten-Testumgebungen oder Simulationen verwendet werden.
Ungewöhnlich ist die nicht erstattbare Einreichungsgebühr: Für jeden Bericht müssen 0,5 SOL verbrannt werden. Anza dürfte damit Platzhalter und massenhaftes Rauschen verhindern wollen. Der Nachteil liegt auf der Hand: Auch ein seriöser Forscher trägt Kosten, wenn sein Fund als Duplikat, bereits bekannt oder nicht ausreichend belegt eingestuft wird.
Alpenglow soll Solanas bisherigen Konsens schrittweise ersetzen. In der ersten Phase steht Votor im Mittelpunkt. Die Solana Foundation nennt rund 150 Millisekunden als Ziel für die Finalität; die erwartete Mainnet-Aktivierung wird mit dem dritten Quartal 2026 angegeben. Der offizielle Status lautet aber weiterhin „Under Development“. Ein Zielwert ist kein Messergebnis aus dauerhaftem Betrieb.
Was der Wettbewerb wirklich aussagt
Der Preispool ist weder ein Krisensignal noch ein Gütesiegel. Er zeigt, dass Anza vor einer tiefen Protokolländerung starke wirtschaftliche Anreize für externe Prüfung setzen will. Ob Alpenglow sicher genug ist, entscheidet sich an den gefundenen Problemen, deren Behebung und später am Verhalten unter echter Netzwerklast.
Aquachoice-Kommentar
Bis zu 50.000 SOL für einen Fehler klingt spektakulär. Die nüchterne Übersetzung lautet: Wer einen wirklich katastrophalen Bug reproduzierbar beweist, könnte sehr gut bezahlt werden. Wer nur „Da könnte vielleicht was sein“ ins Formular kippt, verbrennt erst einmal 0,5 SOL – Spamfilter auf Krypto-Art.
Der Wettbewerb ist ein gutes Zeichen für Sicherheitskultur, aber kein Freifahrtschein für Kursfantasien. Alpenglow muss erst im echten Betrieb liefern. Schnell ist schön. Schnell und stabil wäre schöner.
Quellen
- Anza – Alpenglow Bug Bounty Competition Portal
- Anza – vollständige Wettbewerbsregeln auf GitHub
- Solana Foundation – Alpenglow, Status und technische Ziele
Keine Anlageberatung. Kryptowährungen und Aktien können stark schwanken. Maßgeblich sind die vollständigen Wettbewerbsregeln und die jeweils aktuelle technische Dokumentation.