Résumé
Entre le 28 août 2026 et le 31 août 2026, le système de comptabilité des récompenses de bloc du réseau a été exploité pour créditer les récompenses des validateurs à un rythme accéléré. Bien que cela ait avancé les récompenses de bloc prévues pour une émission future, cela n'a créé aucun CORE au-delà des limites du protocole ; la limite maximale de 2,1 milliards n'a jamais été violée. Environ 255 millions de CORE de récompenses ont été émis avant l'échéance prévue.
La majeure partie des CORE accélérés (≈186 millions) a été retirée de la circulation, annulant définitivement cette portion. Environ 69 millions supplémentaires avaient été déplacés ailleurs par les acteurs malveillants avant la mise à niveau, hors de portée de la réconciliation en chaîne. Core Foundation travaille avec les partenaires concernés pour récupérer ces fonds et collabore étroitement avec les forces de l'ordre dans les pays concernés pour identifier et appréhender les responsables.
Le problème a été contenu et résolu grâce à une mise à niveau coordonnée du réseau, CoreRewardFix, qui a été activée sur le mainnet de Core le 3 septembre 2026 à 13h00 UTC. La mise à niveau a (1) définitivement fermé la vulnérabilité et (2) effectué une réconciliation unique en chaîne qui a retiré les CORE accélérés de la circulation tout en préservant les gains légitimes de chaque validateur honnête.
La mise à niveau s'est activée proprement sans temps d'arrêt du réseau. Tous les effets ont été vérifiés en chaîne.
Aucun fonds d'utilisateur ou de staker n'a été perdu. L'exploit n'a affecté que la comptabilité des récompenses ; les mises en délégation et les soldes des utilisateurs n'ont jamais été en danger.
Impact
L'exploit a avancé les récompenses du pool de récompenses existant du réseau ; aucun CORE n'a été créé au-delà du calendrier d'émission fixe du protocole, et le plafond d'approvisionnement maximal n'a jamais été violé. Au total, environ 255 millions de CORE de récompenses accélérées ont été émis avant l'échéance prévue. Leur répartition :
CORE accélérés
Montant
Statut
Total des récompenses accélérées reçues
≈255M CORE
Avancés depuis le pool de récompenses
Retirés de la circulation (brûlés)
≈186M CORE
✅ Terminé
Déplacés hors de portée avant la mise à niveau
≈69M CORE
Récupération en cours
Autre impact :
Temps d'arrêt du réseau
Aucun
- mise à niveau appliquée en bande
Fonds des utilisateurs / stakers affectés
Aucun
Gains légitimes des validateurs
Préservés
(la réconciliation n'a supprimé que le surplus accéléré)
Récompenses de staking
Temporairement suspendues pendant la remédiation ;
rétablies
après la mise à niveau
Les CORE retirés (≈186 millions) n'ont été transférés à aucune adresse. Les soldes ont été réduits directement dans la base de données d'état, définitivement brûlés, réduisant ainsi l'offre totale. Sur les ≈69 millions qui avaient été déplacés avant la mise à niveau et étaient donc hors de portée de la réconciliation en chaîne, la majorité a été dispersée par l'attaquant sur un grand nombre de portefeuilles externes ; la récupération de ces fonds est poursuivie par les canaux appropriés. Nous travaillons en étroite collaboration avec les forces de l'ordre dans les pays concernés pour identifier et appréhender les acteurs malveillants.
Cause Racine
Le réseau crédite les récompenses de bloc aux validateurs via un chemin privilégié interne au protocole. Une faille dans ce chemin signifiait que, sous une configuration de compte spécifique et inhabituelle, le crédit de récompense pour un bloc pouvait être répété plus que prévu, libérant les récompenses de bloc prévues pour une émission future avant l'heure et augmentant l'offre actuelle plus rapidement que prévu.
Le surplus a été distribué via le processus normal de règlement des récompenses, c'est pourquoi il est apparu à la fois dans les adresses contrôlées par l'attaquant et, involontairement, dans les adresses de récompense des validateurs honnêtes qui ont simplement reçu un paiement gonflé qu'ils n'avaient pas provoqué.
Conformément aux pratiques de divulgation responsable, nous ne publions pas de reproduction étape par étape. Les modifications correctives sont publiques dans la version du client, et les défenses ci-dessous sont actives sur le mainnet.
Chronologie (UTC)
Date
Événement
2026-08-28 - 08-31
Récompenses accélérées créditées sur trois cycles de règlement quotidiens (dernier : 08-31 00h00).
2026-08-31 06h17
Inflation arrêtée en chaîne via la gouvernance. Un paramètre de récompense a été modifié pour arrêter toute émission accélérée supplémentaire.
2026-09-01 00h09
Récompense accumulée capturée au règlement de fin de cycle et sécurisée par Core Foundation.
2026-09-02
Correctif développé, testé sur un testnet public et publié.
2026-09-03 13h00
CoreRewardFix s'active sur le mainnet
(bloc 38 376 795). Vulnérabilité fermée, offre réconciliée, le réseau continue sans interruption.
Résolution : la mise à niveau CoreRewardFix
Livrée dans le client v1.0.26, la mise à niveau active un ensemble de défenses au moment du fork et effectue une réconciliation de solde unique :
Défenses (permanentes) :
- Un garde par bloc sur le chemin de crédit des récompenses, garantissant que la récompense d'un bloc ne peut être créditée qu'une seule fois.
- Rejet des blocs dont le compte coinbase porte une délégation EIP-7702, supprimant la configuration de compte qui a permis l'abus.
- Rejet des transactions sans gaz inattendues, comme filet de sécurité supplémentaire (les transactions système légitimes du protocole restent inchangées).
Réconciliation de l'offre (unique, au bloc de mise à niveau) :
- Les pools contrôlés par l'attaquant ont été mis à zéro.
- Les adresses de récompense des validateurs affectées ont été réduites à un plancher de gains équitables défini comme le solde de chaque validateur avant l'incident plus trois cycles de sa propre récompense normale. Les soldes égaux ou inférieurs à leur plancher équitable ont été laissés intacts, et aucun solde n'a jamais été réduit en dessous de ce plancher.
Cette conception distingue délibérément les attaquants des validateurs honnêtes : le surplus est supprimé, mais chaque validateur légitime conserve les récompenses qu'il a équitablement gagnées.
Vérification
Tous les résultats sont indépendamment vérifiables en chaîne au bloc de mise à niveau (38 376 795) :
- Le contrat de récompense a été mis à niveau vers la version audité et protégée par des gardes.
- La réconciliation de l'offre correspondait exactement à la projection publiée.
- Le réseau a continué à produire des blocs pendant la mise à niveau et les règlements d'époque suivants sans interruption.
La logique de réconciliation a été examinée pour garantir qu'elle est déterministe (identique pour chaque nœud), appliquée exactement une fois, et qu'elle ne peut pas sous-dépasser ou affecter un solde en dessous de son niveau équitable.
Statut de la récupération
La réconciliation en chaîne a retiré 186 153 491 CORE du solde des récompenses accélérées de la circulation, de manière permanente, par réduction directe de l'état.
Environ 69 millions de CORE supplémentaires avaient été déplacés avant la mise à niveau et étaient donc hors de portée de la réconciliation en chaîne. La majorité de cette somme a été dispersée par l'attaquant sur un grand nombre de portefeuilles externes avant la mise à niveau. Core Foundation travaille en étroite collaboration avec les forces de l'ordre et d'autres partenaires pour récupérer ces fonds, soutenue par une piste de preuves en chaîne complète.
Leçons & Prochaines Étapes
- Renforcer le chemin des récompenses et réduire la complexité. Les défenses primaires étant prouvées, nous consoliderons et simplifierons les vérifications connexes dans une version ultérieure.
- Examen d'audit indépendant. Les chemins de comptabilité et de distribution des récompenses ont fait l'objet d'un examen indépendant supplémentaire par Halborn.
Remerciements
Nous sommes reconnaissants envers les validateurs et les opérateurs de nœuds qui ont mis à niveau rapidement et coordonné la réponse, ainsi qu'envers la communauté pour sa patience pendant que nous résolvions ce problème en toute sécurité. Le réseau est sain, l'offre a été corrigée et les récompenses de staking sont de nouveau en ligne.
Les questions ou les analyses indépendantes sont les bienvenues. Le bloc de mise à niveau, le changement de contrat et la réconciliation sont tous publiquement vérifiables en chaîne.
