Resumen
Entre el 28 y el 31 de agosto de 2026, se explotó el sistema de contabilidad de recompensas por bloque de la red para acreditar recompensas a los validadores a un ritmo acelerado. Si bien esto adelantó las recompensas de bloque programadas para emisiones futuras, no creó ningún CORE más allá de los límites del protocolo; el suministro máximo de 2.1 mil millones nunca se violó. Aproximadamente 255 millones de CORE en recompensas se emitieron antes de lo previsto.
La mayor parte del CORE acelerado (≈186 millones) se eliminó del suministro, revirtiendo permanentemente esa porción. Otros ≈69 millones habían sido movidos a otros lugares por los actores maliciosos antes de la actualización, fuera del alcance de la conciliación en cadena. Core Foundation está trabajando con los socios relevantes para recuperar esos fondos y en estrecha colaboración con las autoridades policiales en los países correspondientes para identificar y detener a los responsables.
El problema se contuvo y resolvió mediante una actualización coordinada de la red, CoreRewardFix, que se activó en la red principal de Core el 3 de septiembre de 2026 a las 13:00 UTC. La actualización (1) cerró permanentemente la vulnerabilidad y (2) realizó una conciliación única en cadena que eliminó el CORE acelerado de la circulación, preservando al mismo tiempo las ganancias legítimas de cada validador honesto.
La actualización se activó sin problemas, sin tiempo de inactividad de la red. Todos los efectos se verificaron en cadena.
No se perdieron fondos de usuarios ni de participantes (stakers). El exploit afectó solo la contabilidad de recompensas; el stake delegado y los saldos de los usuarios nunca estuvieron en riesgo.
Impacto
El exploit adelantó recompensas del grupo de recompensas existente de la red; no se creó ningún CORE más allá del programa de suministro fijo del protocolo, y el límite máximo de suministro nunca se violó. En total, se emitieron aproximadamente 255 millones de CORE en recompensas aceleradas antes de lo previsto. Su disposición:
CORE Acelerado
Cantidad
Estado
Total de recompensas aceleradas recibidas
≈255M CORE
Adelantado del grupo de recompensas
Eliminado del suministro (quemado)
≈186M CORE
✅ Completado
Movido fuera del alcance antes de la actualización
≈69M CORE
Recuperación en curso
Otro impacto:
Tiempo de inactividad de la red
Ninguno
- actualización aplicada en banda
Fondos de usuarios / stakers afectados
Ninguno
Ganancias legítimas de validadores
Preservadas
(la conciliación eliminó solo el excedente acelerado)
Recompensas por staking
Pausadas temporalmente durante la remediación;
restauradas
después de la actualización
El CORE eliminado (≈186 millones) no se transfirió a ninguna dirección. Los saldos se redujeron directamente en la base de datos de estado, se quemaron permanentemente, lo que redujo el suministro total. De los ≈69 millones que se habían movido antes de la actualización y, por lo tanto, estaban fuera del alcance de la conciliación en cadena, la mayoría fue dispersada por el atacante en una gran cantidad de billeteras externas; la recuperación de esos fondos se está gestionando a través de los canales apropiados. Estamos trabajando en estrecha colaboración con las autoridades policiales en los países correspondientes para identificar y detener a los actores maliciosos.
Causa Raíz
La red acredita recompensas de bloque a los validadores a través de una ruta privilegiada e interna del protocolo. Una falla en esa ruta significaba que, bajo una configuración de cuenta específica e inusual, la acreditación de recompensas por un bloque podía repetirse más de lo previsto, liberando recompensas de bloque programadas para emisiones futuras antes de tiempo y aumentando el suministro actual más rápido de lo previsto.
El excedente se distribuyó a través del proceso normal de liquidación de recompensas, por lo que apareció tanto en direcciones controladas por atacantes como, sin querer, en las direcciones de recompensa de validadores honestos que simplemente recibieron un pago inflado que no causaron.
De acuerdo con la práctica de divulgación responsable, no estamos publicando una reproducción paso a paso. Los cambios correctivos son públicos en la versión del cliente, y las defensas a continuación están activas en la red principal.
Cronología (UTC)
Fecha
Evento
2026-08-28 - 08-31
Recompensas aceleradas acreditadas en tres rondas de liquidación diarias (última: 08-31 00:00).
2026-08-31 06:17
Inflación detenida en cadena a través de la gobernanza. Se cambió un parámetro de recompensa para detener la emisión acelerada adicional.
2026-09-01 00:09
Recompensa acumulada capturada en la liquidación de fin de ronda y asegurada por Core Foundation.
2026-09-02
Corrección desarrollada, ensayada en una testnet pública y publicada.
2026-09-03 13:00
CoreRewardFix se activa en la red principal
(bloque 38,376,795). Vulnerabilidad cerrada, suministro conciliado, la red continúa sin interrupción.
Resolución: la actualización CoreRewardFix
Entregada en el cliente v1.0.26, la actualización activa un conjunto de defensas en el momento de la bifurcación y realiza una conciliación de saldos única:
Defensas (permanentes):
- Un guardia por bloque en la ruta de acreditación de recompensas, que garantiza que la recompensa de un bloque solo pueda acreditarse una vez.
- Rechazo de bloques cuya cuenta coinbase tenga una delegación EIP-7702, eliminando la configuración de cuenta que permitió el abuso.
- Rechazo de transacciones inesperadas de gas cero, como respaldo adicional (las transacciones legítimas del sistema del protocolo no se ven afectadas).
Conciliación de suministro (única, en el bloque de actualización):
- Los pools controlados por atacantes se establecieron en cero.
- Las direcciones de recompensa de validadores afectadas se redujeron a un piso de ganancias justas definido como el saldo de cada validador antes del incidente más tres rondas de su propia recompensa normal. Los saldos en o por debajo de su piso justo no se modificaron, y ningún saldo se redujo por debajo de ese nivel.
Este diseño distingue deliberadamente a los atacantes de los validadores honestos: el excedente se elimina, pero cada validador legítimo conserva las recompensas que ganó de manera justa.
Verificación
Todos los resultados son verificables de forma independiente en cadena en el bloque de actualización (38,376,795):
- El contrato de recompensas se actualizó a la versión auditada y protegida por guardia.
- La conciliación del suministro coincidió exactamente con la proyección publicada.
- La red continuó produciendo bloques a través de la actualización y las liquidaciones de épocas posteriores sin interrupción.
La lógica de conciliación se revisó para garantizar que sea determinista (idéntica para cada nodo), se aplique exactamente una vez y no pueda desbordarse ni afectar ningún saldo por debajo de su nivel justo.
Estado de recuperación
La conciliación en cadena eliminó 186,153,491 CORE del saldo de recompensas aceleradas del suministro, de forma permanente, mediante una reducción directa del estado.
Otros ≈69 millones de CORE se habían movido antes de la actualización y, por lo tanto, estaban fuera del alcance de la conciliación en cadena. La mayoría de esto fue dispersado por el atacante en una gran cantidad de billeteras externas antes de la actualización. Core Foundation está trabajando en estrecha colaboración con las autoridades policiales y otros socios para recuperar estos fondos, respaldados por un rastro completo de evidencia en cadena.
Lecciones y Próximos Pasos
- Reforzar la ruta de recompensas y reducir la complejidad. Con las defensas principales probadas, consolidaremos y simplificaremos las comprobaciones relacionadas en una versión de seguimiento.
- Revisión de Auditoría Independiente. Las rutas de contabilidad y distribución de recompensas han sido sometidas a una revisión independiente adicional por parte de Halborn.
Agradecimientos
Agradecemos a los validadores y operadores de nodos que actualizaron rápidamente y coordinaron la respuesta, y a la comunidad por su paciencia mientras resolvíamos esto de manera segura. La red está sana, el suministro se ha corregido y las recompensas por staking están de nuevo en línea.
Las preguntas o análisis independientes son bienvenidos. El bloque de actualización, el cambio de contrato y la conciliación son todos verificables públicamente en cadena.
