时间线
- 8.0
Solana 5万SOL安全竞赛未覆盖早前披露的时钟攻击
研究人员在8月12日的USENIX Security上展示了一种Proof-of-History（PoH）时钟攻击，该攻击早在2025年12月就已私下披露给Solana开发者。Anza的50,000 SOL Alpenglow竞赛在披露后七天结束，其规则似乎将该攻击列为范围之外。 该发现暴露了一场重大安全竞赛的覆盖缺口，并提出了过渡风险问题：该攻击利用的是Alpenglow打算替换但尚未在主网移除的旧版TowerBFT机制。共识层漏洞可能威胁网络完整性，因此在升级窗口期内，这会影响验证者、开发者及整个Solana生态系统。 该攻击允许预定领导者通过扣留一个协议有效的区块，再将该区块锚定到更早的逻辑时间点（“重新锚定”），并结合TowerBFT分叉选择（分叉辅助时间膨胀）来拉长其有效出块窗口。威胁模型假设质押占比低于33%、部分同步和已知的领导者日程表，但论文未指明具体受影响的Agave版本。
- 7.5
Solana Alpenglow 漏洞赏金计划向研究人员每次提交收取 0.5 SOL
Anza 为即将到来的 Alpenglow 共识升级启动了为期两周的漏洞赏金计划，要求研究人员通过其门户为每份提交支付不可退还的 0.5 SOL 费用，之后才会评估资格或严重性。该竞赛于 UTC 时间 8 月 19 日 16:00 截止，奖励池为 50,000 SOL，按严重性分配。 Alpenglow 是 Solana 自主网上线以来最重要的协议变更之一，它将向后不兼容地取代现有的 Proof-of-History 和 TowerBFT 共识。收费提交政策将申报风险转嫁给研究人员，可能影响升级上线前能被发现多少严重漏洞，从而影响 Solana 的安全状况。 50,000 SOL 奖励池按等级解锁：DoS 漏洞对应 10,000 SOL，活性故障 20,000 SOL，共识或安全违规 30,000 SOL，资金损失 50,000 SOL；单项奖励上限为 25,000 SOL。提交必须通过 Anza 门户（会生成一份机密 GitHub Security Advisory），指明存在漏洞的提交版本，在本地分叉或模拟环境中复现，并在修复进入 Agave master 之前提交。