Resumen
Entre el 28 y el 31 de agosto de 2026, el sistema de contabilidad de recompensas por bloque de la red fue explotado para acreditar recompensas de validadores a un ritmo acelerado. Si bien esto adelantó las recompensas de bloque programadas para emisiones futuras, no creó ningún CORE más allá de los límites del protocolo; el suministro máximo de 2.1B nunca fue violado. Aproximadamente 255M de CORE en recompensas se emitieron antes de lo programado.
La mayor parte del CORE acelerado (≈186M) fue eliminado del suministro, revirtiendo permanentemente esa porción. Otros ≈69M habían sido movidos a otros lugares por los actores maliciosos antes de la actualización, quedando fuera del alcance de la conciliación en cadena. Core Foundation está trabajando con los socios correspondientes para recuperar esos fondos, y en estrecha colaboración con las autoridades policiales en los países relevantes para identificar y detener a los responsables.
El problema fue contenido y resuelto mediante una actualización coordinada de la red, CoreRewardFix, que se activó en la red principal de Core el 3 de septiembre de 2026 a las 13:00 UTC. La actualización (1) cerró permanentemente la vulnerabilidad y (2) realizó una conciliación única en cadena que eliminó el CORE acelerado de la circulación, preservando al mismo tiempo las ganancias legítimas de cada validador honesto.
La actualización se activó de forma limpia sin tiempo de inactividad de la red. Todos los efectos fueron verificados en cadena.
No se perdieron fondos de usuarios ni de participantes en staking. El exploit afectó únicamente la contabilidad de recompensas; el stake delegado y los saldos de los usuarios nunca estuvieron en riesgo.
Impacto
El exploit adelantó recompensas del fondo de recompensas existente de la red; no se creó ningún CORE más allá del programa de suministro fijo del protocolo, y el límite máximo de suministro nunca fue violado. En total, aproximadamente 255M de CORE en recompensas aceleradas se emitieron antes de lo programado. Su disposición:
CORE Acelerado
Cantidad
Estado
Total de recompensas aceleradas recibidas
≈255M CORE
Adelantadas del fondo de recompensas
Eliminado del suministro (quemado)
≈186M CORE
✅ Completado
Movido fuera de alcance antes de la actualización
≈69M CORE
Recuperación en curso
Otro impacto:
Tiempo de inactividad de la red
Ninguno
- actualización aplicada en banda
Fondos de usuarios/participantes afectados
Ninguno
Ganancias legítimas de validadores
Preservadas
(la conciliación eliminó solo el excedente acelerado)
Recompensas de staking
Pausadas temporalmente durante la remediación;
restauradas
después de la actualización
El CORE eliminado (≈186M) no fue transferido a ninguna dirección. Los saldos se redujeron directamente en la base de datos de estado, quemados permanentemente, reduciendo así el suministro total. De los ≈69M que habían sido movidos antes de la actualización y que, por lo tanto, estaban fuera del alcance de la conciliación en cadena, la mayoría fue dispersada por el atacante en una gran cantidad de billeteras externas; la recuperación de esos fondos se está gestionando a través de los canales apropiados. Estamos trabajando estrechamente con las autoridades policiales en los países relevantes para identificar y detener a los actores maliciosos.
Causa Raíz
La red acredita recompensas de bloque a los validadores a través de una ruta privilegiada e interna del protocolo. Una falla en esa ruta significaba que, bajo una configuración de cuenta específica e inusual, la acreditación de recompensas por un bloque podía repetirse más de lo previsto, liberando recompensas de bloque programadas para emisiones futuras antes de tiempo y aumentando el suministro actual más rápido de lo previsto.
El excedente se distribuyó a través del proceso normal de liquidación de recompensas, por lo que apareció tanto en direcciones controladas por atacantes como, involuntariamente, en las direcciones de recompensa de validadores honestos que simplemente recibieron un pago inflado que no causaron.
En línea con la práctica de divulgación responsable, no estamos publicando una reproducción paso a paso. Los cambios correctivos son públicos en la versión del cliente, y las defensas a continuación están activas en la red principal.
Cronología (UTC)
Fecha
Evento
2026-08-28 - 08-31
Recompensas aceleradas acreditadas en tres rondas de liquidación diarias (última: 08-31 00:00).
2026-08-31 06:17
Inflación detenida en cadena a través de la gobernanza. Se cambió un parámetro de recompensa para detener la emisión acelerada adicional.
2026-09-01 00:09
Recompensa acumulada capturada en la liquidación de cierre y asegurada por Core Foundation.
2026-09-02
Corrección desarrollada, ensayada en una red de pruebas pública y publicada.
2026-09-03 13:00
CoreRewardFix se activa en la red principal
(bloque 38,376,795). Vulnerabilidad cerrada, suministro conciliado, la red continúa sin interrupciones.
Resolución: la actualización CoreRewardFix
Entregada en la versión de cliente v1.0.26, la actualización activa un conjunto de defensas en el momento de la bifurcación y realiza una conciliación de saldos única:
Defensas (permanentes):
- Un guardia por bloque en la ruta de acreditación de recompensas, que garantiza que la recompensa de un bloque pueda acreditarse como máximo una vez.
- Rechazo de bloques cuya cuenta coinbase tenga una delegación EIP-7702, eliminando la configuración de cuenta que permitió el abuso.
- Rechazo de transacciones inesperadas de gas cero, como respaldo adicional (las transacciones legítimas del sistema del protocolo no se ven afectadas).
Conciliación de suministro (única, en el bloque de actualización):
- Los pools controlados por atacantes se establecieron en cero.
- Las direcciones de recompensa de validadores afectadas se redujeron a un piso de ganancias justas definido como el saldo de cada validador antes del incidente más tres rondas de su propia recompensa normal. Los saldos en o por debajo de su piso justo no se modificaron, y ningún saldo se redujo por debajo de este.
Este diseño distingue deliberadamente a los atacantes de los validadores honestos: el excedente se elimina, pero cada validador legítimo conserva las recompensas que ganó de manera justa.
Verificación
Todos los resultados son verificables de forma independiente en cadena en el bloque de actualización (38,376,795):
- El contrato de recompensas se actualizó a la versión auditada y protegida por guardia.
- La conciliación de suministro coincidió exactamente con la proyección publicada.
- La red continuó produciendo bloques a través de la actualización y las liquidaciones de épocas posteriores sin interrupción.
La lógica de conciliación fue revisada para garantizar que sea determinista (idéntica para cada nodo), aplicada exactamente una vez, y que no pueda subestimarse ni afectar ningún saldo por debajo de su nivel justo.
Estado de recuperación
La conciliación en cadena eliminó 186,153,491 CORE del saldo de recompensas aceleradas del suministro, de forma permanente, mediante reducción directa del estado.
Otros ≈69M CORE habían sido movidos antes de la actualización y, por lo tanto, estaban fuera del alcance de la conciliación en cadena. La mayoría de esto fue dispersado por el atacante en una gran cantidad de billeteras externas antes de la actualización. Core Foundation está trabajando estrechamente con las autoridades policiales y otros socios para recuperar estos fondos, respaldados por un rastro de evidencia en cadena completo.
Lecciones y Próximos Pasos
- Fortalecer la ruta de recompensas y reducir la complejidad. Con las defensas principales probadas, consolidaremos y simplificaremos las comprobaciones relacionadas en una versión de seguimiento.
- Revisión de Auditoría Independiente. Las rutas de contabilidad y distribución de recompensas han sido sometidas a una revisión independiente adicional por parte de Halborn.
Agradecimientos
Agradecemos a los validadores y operadores de nodos que actualizaron rápidamente y coordinaron la respuesta, y a la comunidad por su paciencia mientras resolvíamos esto de manera segura. La red está saludable, el suministro ha sido corregido y las recompensas de staking están de vuelta en línea.
Las preguntas o análisis independientes son bienvenidos. El bloque de actualización, el cambio de contrato y la conciliación son todos verificables públicamente en cadena.
