Solana cierra el bug bounty de Alpenglow con más de 300 reportes

Solana cerró un concurso de seguridad dedicado a Alpenglow con más de 300 reportes y un fondo de hasta 50.000 SOL. La revisión busca detectar fallas en el nuevo consenso antes de que la actualización intente reducir drásticamente los tiempos de finalización de la red.
***

• El programa de Anza recibió más de 300 reportes durante dos semanas, entre el 5 y el 19 de agosto de 2026.
• Alpenglow pretende reducir la finalización de transacciones de Solana desde 12,8 segundos hasta entre 100 y 150 milisegundos.
• La evaluación de los hallazgos continuará hasta el 2 de septiembre, mientras las recompensas en SOL quedarán bloqueadas durante un año.

---

Solana cerró el programa de recompensas por errores dedicado a Alpenglow, su próxima actualización del mecanismo de consenso, después de recibir más de 300 reportes de investigadores de seguridad. El concurso, organizado por Anza, se desarrolló durante dos semanas y puso componentes centrales de la propuesta bajo una revisión adversarial de gran escala. El fondo disponible alcanza hasta 50.000 SOL, aunque el pago máximo dependerá de la gravedad y del impacto comprobado de cada vulnerabilidad.

El cierre del concurso ocurrió el 19 de agosto de 2026, tras una convocatoria que comenzó el día 5 del mismo mes. Las presentaciones debían realizarse de forma privada mediante GitHub Security Advisories, según las reglas del programa. La etapa de adjudicación seguirá abierta hasta el 2 de septiembre, por lo que el número de reportes recibidos no equivale todavía a una lista definitiva de fallas válidas.

Una reforma profunda del consenso

Alpenglow no plantea un ajuste menor sobre el software existente, sino una revisión amplia de la forma en que Solana alcanza el consenso entre sus validadores. La propuesta busca reducir el tiempo de finalización de las transacciones desde los actuales 12,8 segundos hasta un intervalo de entre 100 y 150 milisegundos, una meta que modificaría de manera sustancial la experiencia de confirmación para aplicaciones y usuarios.

En una blockchain, la finalización representa el momento en que una transacción alcanza un nivel de certeza suficiente para que la red la considere irreversible bajo sus reglas de consenso. Reducir ese intervalo puede favorecer operaciones que necesitan respuestas rápidas, pero también eleva la importancia de probar cuidadosamente los mensajes, las votaciones y los mecanismos que coordinan a los validadores. Por esa razón, una actualización con objetivos de velocidad requiere controles de seguridad proporcionales a su alcance.

El concurso se concentró en componentes críticos del código del validador Agave, la base de software utilizada para operar nodos de Solana. Entre las piezas examinadas figuran los crates vinculados con votor, votor-messages y bls-sigverify, además de otros mecanismos de integración que sostienen la nueva lógica de votación y consenso de Alpenglow.

La selección de esos componentes refleja que los riesgos no se limitan a una función aislada, sino que pueden aparecer en la interacción entre distintas capas del validador. Un error en la verificación de firmas, en la transmisión de mensajes o en la coordinación de votos podría tener consecuencias diferentes según las condiciones de la red y el tipo de atacante. El concurso buscó que investigadores externos identificaran esos escenarios antes de una eventual implementación.

Un programa separado para una actualización inédita

Alpenglow había quedado fuera de los programas anteriores de recompensas por errores de Agave, de modo que esta iniciativa representó su primera exposición a una revisión de seguridad adversarial a gran escala. La decisión de organizar un concurso específico permitió concentrar la atención de los investigadores en el código nuevo y en las rutas críticas que no habían sido cubiertas por campañas previas.

Para participar, cada informe exigía una tarifa no reembolsable de 0,5 SOL. Anza planteó ese requisito como un filtro contra el spam y los reportes de bajo esfuerzo, aunque mantuvo abierta la posibilidad de participación para cualquier persona capaz de presentar un hallazgo genuino y técnicamente sustentado.

La estructura de envío privado también protege a los usuarios y operadores mientras Anza y la Solana Foundation determinan si un reporte es reproducible, válido y suficientemente grave para recibir una recompensa. En programas de este tipo, la calidad de la demostración resulta tan importante como la cantidad de informes, porque un mismo problema puede llegar acompañado de duplicados o de interpretaciones que no representan una amenaza real para la producción.

Los pagos seguirán las políticas vigentes del programa de recompensas de Agave y se calibrarán según el peligro que supondría cada vulnerabilidad en un entorno productivo. La información disponible no confirma cuántos de los más de 300 envíos serán aceptados ni cómo se distribuirá el fondo, por lo que la cifra de 50.000 SOL debe entenderse como un límite potencial y no como un desembolso ya efectuado.

Qué falta para conocer los resultados

El fondo completo solo estará disponible bajo condiciones específicas, entre ellas un escenario verificado que pudiera provocar la pérdida de fondos. Esa condición establece una diferencia entre una falla técnicamente interesante y una vulnerabilidad con consecuencias financieras directas, además de vincular el pago máximo con una demostración concreta del impacto.

La evaluación se extenderá hasta el 2 de septiembre, fecha prevista para que Anza y la Solana Foundation revisen la validez y la gravedad de los reportes. Durante ese período, los equipos deberán separar los hallazgos únicos de los duplicados, comprobar los escenarios descritos por los investigadores y aplicar las reglas de clasificación del programa antes de anunciar los resultados finales.

Las recompensas denominadas en SOL quedarán bloqueadas durante un año después de la conclusión del concurso. Ese calendario introduce una demora entre el reconocimiento de un hallazgo y la disponibilidad efectiva del pago, aunque no se detallan otras condiciones adicionales sobre la liberación de los fondos.

El resultado del concurso ofrecerá una señal temprana sobre la robustez de Alpenglow, pero no constituirá por sí solo una garantía absoluta de seguridad. La actualización todavía deberá avanzar conforme a sus procesos técnicos y de integración, mientras la comunidad observa si los objetivos de finalización de 100 a 150 milisegundos pueden alcanzarse sin comprometer la estabilidad ni la confianza en el consenso de Solana.

La magnitud de la participación muestra el interés por someter el cambio a pruebas externas antes de depender de él en producción. Para Anza y la Solana Foundation, el siguiente paso será convertir esos cientos de reportes en correcciones, clasificaciones y decisiones verificables sobre el despliegue de Alpenglow.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.