सारांश
2026-08-28 और 2026-08-31 के बीच, नेटवर्क की ब्लॉक-रिवॉर्ड अकाउंटिंग सिस्टम का फायदा उठाकर वैलिडेटर रिवॉर्ड को त्वरित दर से क्रेडिट किया गया। हालांकि इसने भविष्य के उत्सर्जन के लिए निर्धारित ब्लॉक रिवॉर्ड को आगे खींच लिया, लेकिन इसने प्रोटोकॉल की सीमाओं से परे कोई CORE नहीं बनाया; 2.1B की अधिकतम आपूर्ति का कभी उल्लंघन नहीं हुआ। लगभग 255M CORE रिवॉर्ड समय से पहले जारी कर दिए गए।
त्वरित CORE का बड़ा हिस्सा (≈186M) आपूर्ति से हटा दिया गया, जिससे वह हिस्सा स्थायी रूप से समाप्त हो गया। एक और ≈69M को अपग्रेड से पहले दुर्भावनापूर्ण अभिनेताओं द्वारा कहीं और स्थानांतरित कर दिया गया था, जो ऑन-चेन समाधान की पहुंच से बाहर था। Core Foundation उन फंडों को वसूलने के लिए संबंधित भागीदारों के साथ काम कर रहा है, और जिम्मेदार लोगों की पहचान करने और उन्हें गिरफ्तार करने के लिए संबंधित देशों में कानून प्रवर्तन के साथ मिलकर काम कर रहा है।
इस मुद्दे को एक समन्वित नेटवर्क अपग्रेड, CoreRewardFix के माध्यम से रोका और हल किया गया, जो 2026-09-03 को 13:00 UTC पर Core मेननेट पर सक्रिय हुआ। अपग्रेड ने (1) स्थायी रूप से कमजोरी को बंद कर दिया, और (2) एक बार का ऑन-चेन समाधान किया जिसने त्वरित CORE को प्रचलन से हटा दिया, जबकि प्रत्येक ईमानदार वैलिडेटर की वैध कमाई को संरक्षित किया।
अपग्रेड बिना किसी नेटवर्क डाउनटाइम के साफ-सुथरा सक्रिय हुआ। सभी प्रभावों की ऑन-चेन पुष्टि की गई।
कोई उपयोगकर्ता या स्टेकर फंड नहीं खोया। इस शोषण ने केवल रिवॉर्ड अकाउंटिंग को प्रभावित किया; डेलिगेटेड स्टेक और उपयोगकर्ता बैलेंस कभी जोखिम में नहीं थे।
प्रभाव
इस शोषण ने नेटवर्क के मौजूदा रिवॉर्ड पूल से रिवॉर्ड को आगे खींच लिया; प्रोटोकॉल की निश्चित आपूर्ति अनुसूची से परे कोई CORE नहीं बनाया गया, और अधिकतम-आपूर्ति सीमा का कभी उल्लंघन नहीं हुआ। कुल मिलाकर, लगभग 255M CORE त्वरित रिवॉर्ड समय से पहले जारी किए गए। उनका वितरण:
त्वरित CORE
राशि
स्थिति
कुल प्राप्त त्वरित रिवॉर्ड
≈255M CORE
रिवॉर्ड पूल से आगे खींचा गया
आपूर्ति से हटा दिया गया (बर्न)
≈186M CORE
✅ पूर्ण
अपग्रेड से पहले पहुंच से बाहर ले जाया गया
≈69M CORE
वसूली प्रगति पर
अन्य प्रभाव:
नेटवर्क डाउनटाइम
कोई नहीं
- अपग्रेड इन-बैंड लागू किया गया
उपयोगकर्ता / स्टेकर फंड प्रभावित
कोई नहीं
वैध वैलिडेटर कमाई
संरक्षित
(समाधान ने केवल त्वरित अधिशेष हटाया)
स्टेकिंग रिवॉर्ड
उपचार के दौरान अस्थायी रूप से रोक दिया गया;
अपग्रेड के बाद बहाल
हटाया गया CORE (≈186M) किसी पते पर स्थानांतरित नहीं किया गया था। बैलेंस सीधे स्टेट डेटाबेस में कम कर दिए गए, स्थायी रूप से बर्न कर दिए गए, जिससे कुल आपूर्ति कम हो गई। ≈69M में से जो अपग्रेड से पहले स्थानांतरित कर दिया गया था और इसलिए ऑन-चेन समाधान की पहुंच से बाहर था, अधिकांश को हमलावर द्वारा बड़ी संख्या में बाहरी वॉलेट में फैला दिया गया था; उन फंडों की वसूली उपयुक्त चैनलों के माध्यम से की जा रही है। हम दुर्भावनापूर्ण अभिनेताओं की पहचान करने और उन्हें गिरफ्तार करने के लिए संबंधित देशों में कानून प्रवर्तन के साथ मिलकर काम कर रहे हैं।
मूल कारण
नेटवर्क एक विशेषाधिकार प्राप्त, प्रोटोकॉल-आंतरिक पथ के माध्यम से वैलिडेटर को ब्लॉक रिवॉर्ड क्रेडिट करता है। उस पथ में एक दोष का मतलब था कि, एक विशिष्ट और असामान्य खाता कॉन्फ़िगरेशन के तहत, एक ब्लॉक के लिए रिवॉर्ड क्रेडिटिंग को इच्छित से अधिक बार दोहराया जा सकता था, जिससे भविष्य के उत्सर्जन के लिए निर्धारित ब्लॉक रिवॉर्ड समय से पहले जारी हो जाते थे और वर्तमान आपूर्ति इच्छित से तेजी से बढ़ जाती थी।
अधिशेष को सामान्य रिवॉर्ड-निपटान प्रक्रिया के माध्यम से वितरित किया गया था, यही कारण है कि यह हमलावर-नियंत्रित पतों और, अनजाने में, ईमानदार वैलिडेटरों के रिवॉर्ड पतों पर दिखाई दिया, जिन्होंने बस एक बढ़ा हुआ भुगतान प्राप्त किया जो उन्होंने नहीं किया था।
जिम्मेदार प्रकटीकरण अभ्यास के अनुरूप, हम चरण-दर-चरण पुनरुत्पादन प्रकाशित नहीं कर रहे हैं। सुधारात्मक परिवर्तन क्लाइंट रिलीज़ में सार्वजनिक हैं, और नीचे दी गई सुरक्षा मेननेट पर लाइव हैं।
समयरेखा (UTC)
तिथि
घटना
2026-08-28 - 08-31
तीन दैनिक निपटान दौरों में त्वरित रिवॉर्ड क्रेडिट किए गए (अंतिम: 08-31 00:00)।
2026-08-31 06:17
गवर्नेंस के माध्यम से ऑन-चेन मुद्रास्फीति रोक दी गई। आगे त्वरित जारीकरण को रोकने के लिए एक रिवॉर्ड पैरामीटर बदला गया।
2026-09-01 00:09
टर्न-राउंड निपटान पर संचित रिवॉर्ड कैप्चर किया गया और Core Foundation द्वारा सुरक्षित किया गया।
2026-09-02
फिक्स विकसित किया गया, सार्वजनिक टेस्टनेट पर अभ्यास किया गया, और जारी किया गया।
2026-09-03 13:00
CoreRewardFix मेननेट पर सक्रिय होता है
(ब्लॉक 38,376,795)। कमजोरी बंद हुई, आपूर्ति का समाधान हुआ, नेटवर्क बिना किसी रुकावट के जारी रहा।
समाधान: CoreRewardFix अपग्रेड
क्लाइंट v1.0.26 में वितरित, अपग्रेड फोर्क समय पर सुरक्षा उपायों का एक सेट सक्रिय करता है और एक बार का बैलेंस समाधान करता है:
सुरक्षा उपाय (स्थायी):
- रिवॉर्ड-क्रेडिटिंग पथ पर एक प्रति-ब्लॉक गार्ड, यह सुनिश्चित करता है कि एक ब्लॉक के रिवॉर्ड को अधिकतम एक बार क्रेडिट किया जा सकता है।
- उन ब्लॉकों की अस्वीकृति जिनके कॉइनबेस खाते में EIP-7702 डेलिगेशन है, उस खाता कॉन्फ़िगरेशन को हटाते हुए जिसने दुरुपयोग को सक्षम किया।
- अप्रत्याशित शून्य-गैस लेनदेन की अस्वीकृति, एक अतिरिक्त बैकस्टॉप के रूप में (वैध प्रोटोकॉल सिस्टम लेनदेन अप्रभावित रहते हैं)।
आपूर्ति समाधान (एक बार, अपग्रेड ब्लॉक पर):
- हमलावर-नियंत्रित पूल शून्य पर सेट किए गए।
- प्रभावित वैलिडेटर रिवॉर्ड पतों को उचित-कमाई सीमा तक कम कर दिया गया, जिसे प्रत्येक वैलिडेटर के घटना-पूर्व बैलेंस और उसके स्वयं के सामान्य रिवॉर्ड के तीन दौरों के रूप में परिभाषित किया गया। अपनी उचित सीमा पर या उससे नीचे के बैलेंस को अछूता छोड़ दिया गया, और किसी भी बैलेंस को कभी भी उससे नीचे नहीं घटाया गया।
यह डिज़ाइन जानबूझकर हमलावरों को ईमानदार वैलिडेटरों से अलग करता है: अधिशेष हटा दिया जाता है, लेकिन प्रत्येक वैध वैलिडेटर अपनी उचित कमाई रखता है।
सत्यापन
सभी परिणाम अपग्रेड ब्लॉक (38,376,795) पर स्वतंत्र रूप से ऑन-चेन सत्यापन योग्य हैं:
- रिवॉर्ड कॉन्ट्रैक्ट को ऑडिटेड, गार्ड-संरक्षित संस्करण में अपग्रेड किया गया।
- आपूर्ति समाधान प्रकाशित प्रक्षेपण से बिल्कुल मेल खाता था।
- नेटवर्क ने अपग्रेड और उसके बाद के युग निपटानों के माध्यम से बिना किसी रुकावट के ब्लॉक का उत्पादन जारी रखा।
समाधान तर्क की समीक्षा यह सुनिश्चित करने के लिए की गई कि यह नियतात्मक (प्रत्येक नोड के लिए समान) है, बिल्कुल एक बार लागू किया गया है, और अंडरफ्लो नहीं कर सकता है या किसी भी बैलेंस को उसके उचित स्तर से नीचे प्रभावित नहीं कर सकता है।
वसूली की स्थिति
ऑन-चेन समाधान ने प्रत्यक्ष स्टेट कमी द्वारा, त्वरित रिवॉर्ड बैलेंस का 186,153,491 CORE स्थायी रूप से आपूर्ति से हटा दिया।
एक और ≈69M CORE को अपग्रेड से पहले स्थानांतरित कर दिया गया था और इसलिए वह ऑन-चेन समाधान की पहुंच से बाहर था। इसका अधिकांश भाग हमलावर द्वारा अपग्रेड से पहले बड़ी संख्या में बाहरी वॉलेट में फैला दिया गया था। Core Foundation एक पूर्ण ऑन-चेन साक्ष्य श्रृंखला द्वारा समर्थित, इन फंडों को वसूलने के लिए कानून प्रवर्तन और अन्य भागीदारों के साथ मिलकर काम कर रहा है।
सबक और अगले कदम
- रिवॉर्ड पथ को मजबूत करें और जटिलता कम करें। प्राथमिक सुरक्षा उपायों के सिद्ध होने के साथ, हम एक अनुवर्ती रिलीज़ में संबंधित जांचों को समेकित और सरल करेंगे।
- स्वतंत्र ऑडिट समीक्षा। रिवॉर्ड-अकाउंटिंग और रिवॉर्ड-डिस्ट्रीब्यूशन पथों की Halborn द्वारा अतिरिक्त स्वतंत्र समीक्षा की गई है।
धन्यवाद
हम उन वैलिडेटरों और नोड ऑपरेटरों के आभारी हैं जिन्होंने तेजी से अपग्रेड किया और प्रतिक्रिया के माध्यम से समन्वय किया, और समुदाय को इस सुरक्षित रूप से हल करने के दौरान धैर्य रखने के लिए। नेटवर्क स्वस्थ है, आपूर्ति को ठीक कर लिया गया है, और स्टेकिंग रिवॉर्ड वापस ऑनलाइन हैं।
प्रश्न या स्वतंत्र विश्लेषण का स्वागत है। अपग्रेड ब्लॉक, कॉन्ट्रैक्ट परिवर्तन और समाधान सभी सार्वजनिक रूप से ऑन-चेन सत्यापन योग्य हैं।
