Anza öffnet Bug-Bounty für Alpenglow — Sicherheitsschritt vor dem Mainnet
Anza hat das Bug-Bounty-Repository für Alpenglow geöffnet — den neuen Solana-Konsens, der TowerBFT ablöst. Einreichungen sind noch nicht offen, Umfang und Prämien folgen. Ein Härtungsschritt vor dem angepeilten Mainnet-Start.
Was passiert ist
Anza hat auf GitHub das Bug-Bounty-Repository für Alpenglow eröffnet — den neuen Konsens-Mechanismus, der Solanas bisheriges TowerBFT und Proof-of-History ablösen soll. Die Einreichung ist allerdings noch nicht offen: Laut Repository gilt „Submissions are not open yet”, und „Umfang, Regeln, Termine und Belohnungen folgen in Kürze”. Der Schritt markiert den Übergang in die Sicherheits- und Audit-Phase — den üblichen Weg vor einem Mainnet-Rollout.
Was geprüft werden soll
Der Fokus liegt auf der Alpenglow-Logik, die derzeit in den Agave-Client migriert wird. Das Bounty-Repository nennt als Kernmodule unter anderem votor (die Abstimmungs-Engine), votor-messages sowie die BLS-Signaturprüfung (bls-sigverify, bls-cert-verify). Diese Bausteine sind das Herz von Alpenglows Finalisierung — Fehler an dieser Stelle hätten unmittelbare Folgen für die Sicherheit des Konsenses.
Wozu Alpenglow
Alpenglow ersetzt zwei Kernkomponenten: Votor übernimmt Abstimmung und Finalisierung, Rotor die Datenverteilung. Laut Simulation fällt die Block-Finalität von rund 12,8 Sekunden auf etwa 150 Millisekunden — eine der größten Latenz-Verbesserungen seit dem Mainnet-Start. Das Netzwerk bleibt dabei funktionsfähig, solange nicht mehr als 20 Prozent des Stakes feindlich und 20 Prozent nicht-reagierend sind. Die technische Tiefe erklärt unser Hintergrund: Alpenglow: Solanas neuer Konsens erklärt.
Einordnung
- Ein Bug-Bounty ist ein Sicherheits-Meilenstein, kein Release. Er zeigt, dass Alpenglow aus der reinen Testphase in die Härtung vor dem Mainnet übergeht — aber „coming soon” heißt: Termine und Prämien stehen noch aus.
- Alpenglow läuft bereits seit Mai auf einem Community-Test-Cluster; parallel hat Agave v4.1 die Validatoren vorbereitet. Ein Mainnet-Start wird für Q3 2026 angepeilt — ein festes Datum gibt es nicht.
- Das Muster ist etabliert: Auch der Firedancer-Client durchlief vor seinem Mainnet-Einsatz ein öffentliches Bug-Bounty. Sicherheit geht vor Geschwindigkeit, gerade beim Herzstück des Netzwerks.
Update (31. Juli 2026): Regeln sind da — bis zu 50.000 SOL, Einreichungen ab 5. August
Anza hat die vollständigen Regeln der Bug-Bounty-Competition veröffentlicht. Die Eckdaten laut Repository:
- Prämien-Pool: bis zu 50.000 SOL.
- Einreichungs-Fenster: 5. August, 16:00 UTC bis 19. August 2026, 16:00 UTC. Einreichungen außerhalb des Fensters fallen unter die reguläre Agave-Security-Policy.
- Umfang: die vier Kern-Module votor (Abstimmungs-Engine), votor-messages (Vote- und Zertifikats-Typen), bls-sigverify (BLS-Signaturprüfung) und bls-cert-verify (Zertifikats- und Stake-Schwellen-Prüfung) — plus die Alpenglow-Integrationsfläche im Validator.
- Einreichung: als GitHub Security Advisory im Alpenglow-Repository, ein Finding pro Advisory. Wer ein Finding vorab öffentlich macht — etwa als GitHub-Issue —, verliert den Anspruch auf eine Prämie. Bereits dokumentierte, bekannte Issues sind vom Umfang ausgenommen.
Zur Zeitplanung passt die inzwischen veröffentlichte Agave-4.2-Übersicht: Der Alpenglow-Code ist dort feature-complete, die Aktivierung ist für Agave 4.3 mit Ziel Oktober 2026 vorgesehen.
Update (5. August 2026): Einreichungen laufen
Das Fenster ist planmäßig um 16:00 UTC geöffnet worden. Neu bekannt gegebene Details: Einreichungen laufen über das Portal alpenglow.anza.xyz; pro Einreichung fällt ein Burn von 0,5 SOL an — eine Hürde gegen Spam-Meldungen. Es bleibt bei GitHub Security Advisories als Format und dem Fenster bis zum 19. August, 16:00 UTC.
Hinweis: Dies ist Berichterstattung, keine Anlageberatung.
Was zu beobachten ist
- Welche Findings die Competition zutage fördert und wie Anza sie einordnet
- Ob der Oktober-Zielkorridor für die Alpenglow-Aktivierung hält
- Wie schnell die Migration der Alpenglow-Logik in den Agave-Master abgeschlossen wird