Чтобы немедленно развеять любые опасения, высказанные выше, мы хотим пояснить, что все заявки на bug bounty, которые мы получили, были тщательно рассмотрены и на них были даны соответствующие ответы. Это всегда было нашей практикой, и мы продолжаем оперативно реагировать на любые реальные угрозы для блокчейна, его валидаторов или контрактов.
После тщательной оценки было подтверждено, что заявка от @FuzzingLabs не выявила какой-либо реальной угрозы для сети или ее валидаторов, вопреки их утверждениям.
Для ясности, их заявка касалась возможности того, что злоумышленник может обновить устаревшие Python-контракты для выполнения произвольного кода. На первый взгляд, мы понимаем, почему это могло показаться уязвимостью. Однако они неправильно поняли ее практические последствия:
- Они верно заметили, что механизм исполнения Python по-прежнему активен в блокчейне ICON.
- Затем они заявили, что, хотя новые Python SCORE нельзя развернуть, их все еще можно обновить. Здесь и началось недопонимание. На практике обновления Python-контрактов не разрешены, если они включают развертывание нового Python-кода. В настоящее время ни один Python SCORE, будь то свежее развертывание или обновление, не принимается. Разрешены только обновления, переходящие с Python на Java.
"𝘗𝘺𝘵𝘩𝘰𝘯 𝘦𝘹𝘦𝘤𝘶𝘵𝘪𝘰𝘯 𝘦𝘯𝘨𝘪𝘯𝘦 𝘳𝘦𝘮𝘢𝘪𝘯𝘴 𝘢𝘤𝘵𝘪𝘷𝘦 𝘰𝘯 𝘮𝘢𝘪𝘯𝘯𝘦𝘵 𝘥𝘶𝘦 𝘵𝘰 𝘵𝘩𝘦 𝘤𝘰𝘯𝘵𝘪𝘯𝘶𝘦𝘥 𝘦𝘹𝘪𝘴𝘵𝘦𝘯𝘤𝘦 𝘰𝘧 𝘭𝘦𝘨𝘢𝘤𝘺 𝘗𝘺𝘵𝘩𝘰𝘯 𝘤𝘰𝘯𝘵𝘳𝘢𝘤𝘵𝘴." 𝗧𝗿𝘂𝗲.
"𝘗𝘺𝘵𝘩𝘰𝘯 𝘤𝘰𝘯𝘵𝘳𝘢𝘤𝘵𝘴 𝘤𝘢𝘯𝘯𝘰𝘵 𝘣𝘦 𝘥𝘦𝘱𝘭𝘰𝘺𝘦𝘥, 𝘦𝘹𝘪𝘴𝘵𝘪𝘯𝘨 𝘤𝘰𝘯𝘵𝘳𝘢𝘤𝘵𝘴 𝘤𝘢𝘯 𝘴𝘵𝘪𝘭𝘭 𝘣𝘦 𝘶𝘱𝘥𝘢𝘵𝘦𝘥" 𝗙𝗮𝗹𝘀𝗲.
Обновление Python на Python запрещено системой времени выполнения. Принимается только Python на Java.
"𝘗𝘺𝘵𝘩𝘰𝘯 𝘦𝘯𝘨𝘪𝘯𝘦 𝘪𝘴 𝘪𝘯𝘴𝘶𝘧𝘧𝘪𝘤𝘪𝘦𝘯𝘵𝘭𝘺 𝘴𝘢𝘯𝘥𝘣𝘰𝘹𝘦𝘥, 𝘢𝘭𝘭𝘰𝘸𝘪𝘯𝘨 𝘢𝘳𝘣𝘪𝘵𝘳𝘢𝘳𝘺 𝘤𝘰𝘥𝘦 𝘦𝘹𝘦𝘤𝘶𝘵𝘪𝘰𝘯" 𝗙𝗮𝗹𝘀𝗲.
Именно поэтому была введена система аудита. В настоящее время ни один Python SCORE не принимается, независимо от того, является ли он первой установкой или обновлением.
Как многие из вас знают, DeFi-инфраструктура ICON вместе с $ICX скоро перейдет на SODAX ($SODA) в блокчейне Sonic. Пока происходит этот переход, мы по-прежнему привержены безопасности блокчейна ICON и его пользователей. Если появится достоверный эксплойт, оказывающий реальное воздействие на блокчейн, смарт-контракты или средства пользователей, будьте уверены, что мы предпримем все необходимые шаги для его устранения.