Para abordar imediatamente quaisquer preocupações levantadas acima, queremos esclarecer que todas as submissões de bug bounty que recebemos foram minuciosamente revisadas e respondidas adequadamente. Esta sempre foi a nossa prática, e continuamos a agir prontamente em relação a quaisquer ameaças genuínas à blockchain, aos seus validadores ou contratos.
Após uma avaliação completa, foi confirmado que a submissão de @FuzzingLabs não identificou nenhuma ameaça real à rede ou aos seus validadores, ao contrário das suas alegações.
Para maior clareza, a sua submissão envolvia a possibilidade de um agente malicioso atualizar contratos Python legados para executar código arbitrário. À primeira vista, entendemos por que isso pareceu ser uma vulnerabilidade. No entanto, eles interpretaram mal as suas implicações práticas:
- Eles observaram corretamente que o motor de execução Python ainda está ativo na blockchain ICON.
- Eles então alegaram que, embora novos SCOREs Python não possam ser implementados, eles ainda podem ser atualizados. Foi aqui que o mal-entendido começou. Na prática, as atualizações de contratos Python não são permitidas se envolverem a implementação de novo código Python. Atualmente, nenhum SCORE Python, seja uma nova implementação ou uma atualização, é aceite. Apenas são permitidas atualizações que fazem a transição de Python para Java.
"𝘗𝘺𝘵𝘩𝘰𝘯 𝘦𝘹𝘦𝘤𝘶𝘵𝘪𝘰𝘯 𝘦𝘯𝘨𝘪𝘯𝘦 𝘳𝘦𝘮𝘢𝘪𝘯𝘴 𝘢𝘤𝘵𝘪𝘷𝘦 𝘰𝘯 𝘮𝘢𝘪𝘯𝘯𝘦𝘵 𝘥𝘶𝘦 𝘵𝘰 𝘵𝘩𝘦 𝘤𝘰𝘯𝘵𝘪𝘯𝘶𝘦𝘥 𝘦𝘹𝘪𝘴𝘵𝘦𝘯𝘤𝘦 𝘰𝘧 𝘭𝘦𝘨𝘢𝘤𝘺 𝘗𝘺𝘵𝘩𝘰𝘯 𝘤𝘰𝘯𝘵𝘳𝘢𝘤𝘵𝘴." 𝗧𝗿𝘂𝗲.
"𝘗𝘺𝘵𝘩𝘰𝘯 𝘤𝘰𝘯𝘵𝘳𝘢𝘤𝘵𝘴 𝘤𝘢𝘯𝘯𝘰𝘵 𝘣𝘦 𝘥𝘦𝘱𝘭𝘰𝘺𝘦𝘥, 𝘦𝘹𝘪𝘴𝘵𝘪𝘯𝘨 𝘤𝘰𝘯𝘵𝘳𝘢𝘤𝘵𝘴 𝘤𝘢𝘯 𝘴𝘵𝘪𝘭𝘭 𝘣𝘦 𝘶𝘱𝘥𝘢𝘵𝘦𝘥" 𝗙𝗮𝗹𝘀𝗲.
A atualização de Python para Python é proibida pelo sistema de runtime. Apenas Python para Java pode ser aceite.
"𝘗𝘺𝘵𝘩𝘰𝘯 𝘦𝘯𝘨𝘪𝘯𝘦 𝘪𝘴 𝘪𝘯𝘴𝘶𝘧𝘧𝘪𝘤𝘪𝘦𝘯𝘵𝘭𝘺 𝘴𝘢𝘯𝘥𝘣𝘰𝘹𝘦𝘥, 𝘢𝘭𝘭𝘰𝘸𝘪𝘯𝘨 𝘢𝘳𝘣𝘪𝘵𝘳𝘢𝘳𝘺 𝘤𝘰𝘥𝘦 𝘦𝘹𝘦𝘤𝘶𝘵𝘪𝘰𝘯" 𝗙𝗮𝗹𝘀𝗲.
É exatamente por isso que o sistema de Auditoria foi introduzido. Atualmente, nenhum SCORE Python é aceite, independentemente de ser a primeira implementação ou atualização.
Como todos sabem, a infraestrutura DeFi da ICON, juntamente com $ICX, em breve migrará para SODAX ($SODA) na blockchain Sonic. Enquanto esta transição ocorre, permanecemos comprometidos com a segurança da blockchain ICON e dos seus utilizadores. Se surgir um exploit credível com impacto no mundo real na blockchain, nos smart contracts ou nos fundos dos utilizadores, tenham a certeza de que tomaremos todas as medidas necessárias para resolvê-lo.