Firedancer, el segundo cliente validador de Solana, cobra 1 SOL por cada informe de vulnerabilidad que un investigador envía a su plataforma de bug bounty, el programa que paga a especialistas externos por encontrar fallos antes de que lo haga un atacante. Son unos 100 dólares al cambio actual y no hay devolución posible. La norma está vigente desde el 16 de octubre y el equipo de Jump Crypto que lo desarrolla no la ha activado para recaudar.
Un peaje de 1 SOL para filtrar informes escritos por IA
Los términos del programa, en la versión que entró en vigor el lunes 26 de octubre, son explícitos: la quema es no reembolsable ‘incluso para informes duplicados, fuera de alcance o inválidos’. Traducido al castellano: si el hallazgo ya está reportado, no aplica al cliente o es directamente falso, el SOL se pierde igual. Los envíos sin quema, además, podrán revisarse o no, pero no optarán a ninguna recompensa.
El origen del peaje está en el concurso de auditoría que Jump celebró entre el 9 de abril y el 9 de mayo de este año, con un millón de dólares en premios y una tarifa de 100 dólares por envío. Ishan Bhatt, del equipo de Firedancer, explicó en el blog de Jump Crypto que el objetivo es desincentivar a los investigadores que lanzan informes en masa y trasladan a los revisores el trabajo de validarlos. En el sector lo llaman spray and pray: disparar y rezar.
Cada sección de un informe queda limitada a 3.000 caracteres, otra barrera contra los textos kilométricos. Las recompensas estándar para fallos críticos van de 50.000 a 100.000 dólares, pagados en USDC, la stablecoin de Circle anclada al dólar. Durante el lanzamiento, Jump ha duplicado los premios hasta el 20 de noviembre y los ha triplicado si el hallazgo está relacionado con Alpenglow, la actualización de consenso que la red activó la semana pasada.
El programa no nace en el vacío. Nace de un embudo roto: encontrar fallos se ha vuelto barato, verificarlos no.
El peaje no cobra por el fallo reportado, cobra por las horas de revisión que alguien tendrá que dedicarle.
809 informes de 162 investigadores: casi todos, escritos por un agente
Los números del concurso de primavera explican la decisión mejor que cualquier comunicado. Jump recibió 809 informes firmados por 162 investigadores. De todos ellos, solo 127 hallazgos únicos resultaron válidos y no meramente informativos. Menos de uno de cada seis envíos aportó algo nuevo.
Casi la mitad de los válidos eran duplicados. La explicación del equipo es tan lógica como incómoda: varios agentes que usan los mismos modelos de lenguaje llegan a las mismas conclusiones y las presentan como hallazgos independientes. La longitud media de cada informe fue de 2.610 palabras, código incluido. Antes de 2025, la media en los programas de recompensas de Jump era de 406 palabras.
La conclusión del equipo es que casi todos los envíos fueron descubiertos o redactados por un agente de IA. No es una acusación de fraude. Es la descripción de un cuello de botella que se ha movido de sitio.
El fenómeno tampoco es exclusivo de Solana. Bitcoin Core anunció la semana pasada que acelerará la corrección de los fallos que una IA pueda localizar con facilidad, una forma de cerrar la ventana antes de que el ruido llegue a sus listas de correo. En Solana la diferencia es de escala: un cliente validador es el programa que cada operador ejecuta para producir y votar bloques, y Firedancer compite por el mismo stake (el SOL delegado a los validadores) que Agave, mientras cada informe sin revisar retrasa a un equipo pequeño.
El coste real: quién puede permitirse auditar Firedancer
Firedancer ya no es un experimento. Según el dato que Bhatt incluye en su análisis, el cliente ha llegado a concentrar el 15% del stake de la red. Hace dos años ese porcentaje habría sonado a fantasía, cuando Agave era el único cliente en producción. La red que sufrió paradas sonadas en septiembre de 2021 y febrero de 2022 necesitaba justo eso: un segundo motor para eliminar el punto único de fallo.
El peaje tiene una cara menos amable. Convierte la auditoría en una actividad con coste de entrada y filtra tanto a los espontáneos como a los curiosos sin respaldo. Un investigador independiente que detecte tres falsos positivos antes de dar con un fallo real habrá gastado unos 300 dólares en SOL antes de cobrar nada. Las firmas con equipo y presupuesto no lo notarán. Las que trabajan solas, sí.
Hay otra dependencia que conviene vigilar. La plataforma es de Jump Crypto, no de la Solana Foundation, y las reglas las fija quien paga. Hoy no es un problema. Lo sería si el resto de clientes validadores copiara el modelo y la puerta de entrada a la seguridad de la red quedara en manos de tres o cuatro empresas.
La pregunta abierta es si el peaje se queda. El 20 de noviembre termina la ventana de recompensas dobles y, a partir de ahí, el flujo de informes dirá si la quema disuade el ruido o solo lo encarece. Con SOL rondando los 101 dólares, la tasa cuesta lo que un menú para dos. Para un agente automático, eso sigue siendo calderilla.
