Краткое описание
В период с 28 по 31 августа 2026 года система учета вознаграждений за блоки в сети была использована для начисления валидаторам ускоренных вознаграждений. Хотя это привело к преждевременной выплате вознаграждений за блоки, запланированных на будущее, это не привело к созданию CORE сверх установленных протоколом лимитов; максимальный объем эмиссии в 2,1 млрд CORE никогда не был нарушен. Примерно 255 млн CORE вознаграждений было выплачено досрочно.
Основная часть ускоренных CORE (≈186 млн) была изъята из обращения, что навсегда отменило эту часть. Еще ≈69 млн были перемещены злоумышленниками в другие места до обновления и оказались вне досягаемости внутрисетевой сверки. Core Foundation работает с соответствующими партнерами над возвратом этих средств, а также тесно сотрудничает с правоохранительными органами в соответствующих странах для выявления и задержания виновных.
Проблема была локализована и устранена с помощью скоординированного обновления сети — CoreRewardFix, которое активировалось в основной сети Core 3 сентября 2026 года в 13:00 UTC. Обновление (1) навсегда закрыло уязвимость и (2) выполнило одноразовую внутрисетевую сверку, которая изъяла ускоренные CORE из обращения, сохранив при этом законные доходы каждого честного валидатора.
Обновление активировалось чисто, без простоев сети. Все эффекты были проверены в сети.
Средства пользователей и стейкеров не пострадали. Эксплойт затронул только учет вознаграждений; делегированные стейки и балансы пользователей никогда не были под угрозой.
Влияние
Эксплойт извлек вознаграждения из существующего пула вознаграждений сети; ни один CORE не был создан сверх фиксированного графика эмиссии протокола, и лимит максимальной эмиссии никогда не был нарушен. В общей сложности было преждевременно выплачено примерно 255 млн CORE ускоренных вознаграждений. Их распределение:
Ускоренные CORE
Сумма
Статус
Всего получено ускоренных вознаграждений
≈255 млн CORE
Изъяты из пула вознаграждений
Изъято из обращения (сожжено)
≈186 млн CORE
✅ Завершено
Перемещено до обновления
≈69 млн CORE
В процессе возврата
Другие последствия:
Простой сети
Нет
- обновление применено в рабочем режиме
Средства пользователей / стейкеров затронуты
Нет
Законные доходы валидаторов
Сохранены
(сверка удалила только ускоренный излишек)
Вознаграждения за стейкинг
Временно приостановлены на время исправления;
восстановлены
после обновления
Изъятые CORE (≈186 млн) не были переведены ни на один адрес. Балансы были напрямую уменьшены в базе данных состояния, навсегда сожжены, что снизило общую эмиссию. Из ≈69 млн, которые были перемещены до обновления и, следовательно, оказались вне досягаемости внутрисетевой сверки, большая часть была распределена атакующим по большому количеству внешних кошельков; возврат этих средств осуществляется через соответствующие каналы. Мы тесно сотрудничаем с правоохранительными органами в соответствующих странах для выявления и задержания злоумышленников.
Основная причина
Сеть начисляет вознаграждения за блоки валидаторам через привилегированный внутренний путь протокола. Ошибка в этом пути означала, что при определенной и необычной конфигурации учетной записи начисление вознаграждения за блок могло быть повторено большее количество раз, чем предполагалось, что приводило к преждевременной выплате вознаграждений за блоки, запланированных на будущее, и более быстрому, чем предполагалось, увеличению текущей эмиссии.
Излишек был распределен через обычный процесс расчета вознаграждений, поэтому он появился как на адресах, контролируемых атакующим, так и, непреднамеренно, на адресах вознаграждений честных валидаторов, которые просто получили завышенную выплату, к которой они не были причастны.
В соответствии с практикой ответственного раскрытия информации, мы не публикуем пошаговое воспроизведение. Корректирующие изменения являются общедоступными в релизе клиента, а описанные ниже меры защиты активны в основной сети.
Хронология (UTC)
Дата
Событие
28.08.2026 - 31.08.2026
Ускоренные вознаграждения начислены в течение трех ежедневных расчетных раундов (последний: 31.08.2026 00:00).
31.08.2026 06:17
Инфляция остановлена в сети через управление. Изменен параметр вознаграждения для прекращения дальнейшей ускоренной эмиссии.
01.09.2026 00:09
Накопленное вознаграждение захвачено в момент расчетного оборота и зафиксировано Core Foundation.
02.09.2026
Разработано исправление, протестировано на публичном тестнете и выпущено.
03.09.2026 13:00
CoreRewardFix активируется в основной сети
(блок 38 376 795). Уязвимость закрыта, эмиссия сверена, сеть продолжает работу без перебоев.
Решение: обновление CoreRewardFix
Доставленное в клиенте v1.0.26, обновление активирует набор защитных мер в момент форка и выполняет одноразовую сверку балансов:
Защитные меры (постоянные):
- Поблочная защита пути начисления вознаграждений, гарантирующая, что вознаграждение за блок может быть начислено не более одного раза.
- Отклонение блоков, чей coinbase-аккаунт имеет делегирование EIP-7702, что устраняет конфигурацию учетной записи, позволившую злоупотребление.
- Отклонение неожиданных транзакций с нулевым газом в качестве дополнительной подстраховки (легитимные системные транзакции протокола остаются незатронутыми).
Сверка эмиссии (одноразовая, в блоке обновления):
- Пулы, контролируемые атакующим, были обнулены.
- Затронутые адреса вознаграждений валидаторов были уменьшены до уровня справедливого дохода, определяемого как баланс каждого валидатора до инцидента плюс три раунда его собственного нормального вознаграждения. Балансы на уровне или ниже их справедливого порога не были затронуты, и ни один баланс не был уменьшен ниже этого уровня.
Такая конструкция намеренно отличает атакующих от честных валидаторов: излишек удаляется, но каждый легитимный валидатор сохраняет вознаграждения, которые он честно заработал.
Верификация
Все результаты независимо проверяемы в сети в блоке обновления (38 376 795):
- Контракт вознаграждений был обновлен до проверенной версии с защитой.
- Сверка эмиссии точно соответствовала опубликованному прогнозу.
- Сеть продолжала производить блоки во время обновления и последующих расчетов эпох без перебоев.
Логика сверки была проверена, чтобы гарантировать ее детерминированность (идентична для каждого узла), однократное применение и невозможность переполнения или влияния на любой баланс ниже его справедливого уровня.
Статус возврата
Внутрисетевая сверка удалила 186 153 491 CORE из баланса ускоренных вознаграждений из обращения навсегда путем прямого уменьшения состояния.
Еще ≈69 млн CORE были перемещены до обновления и, следовательно, оказались вне досягаемости внутрисетевой сверки. Большая часть этого объема была распределена атакующим по большому количеству внешних кошельков до обновления. Core Foundation тесно сотрудничает с правоохранительными органами и другими партнерами для возврата этих средств, опираясь на полную цепочку доказательств в сети.
Выводы и следующие шаги
- Укрепить путь вознаграждений и снизить сложность. После подтверждения основных защитных мер мы консолидируем и упростим соответствующие проверки в последующем релизе.
- Независимый аудит. Пути учета и распределения вознаграждений прошли дополнительную независимую проверку компанией Halborn.
Благодарности
Мы благодарны валидаторам и операторам узлов, которые быстро обновились и координировали свои действия во время реагирования, а также сообществу за его терпение, пока мы безопасно решали эту проблему. Сеть здорова, эмиссия скорректирована, а вознаграждения за стейкинг снова работают.
Вопросы или независимый анализ приветствуются. Блок обновления, изменение контракта и сверка являются общедоступными и проверяемыми в сети.
