La fondation ICON a indiqué que l'exploit de rejeu du 27 août a libéré 119 866 000 ICX et 531 600 bnUSD à partir des actifs détenus par la fondation. Deux messages de retrait légitimes ont été réutilisés 1 492 fois, dont 1 490 ont abouti; aucun dépôt, solde ni position d'utilisateur n'a été compromis. La perte nette confirmée s'élève à environ 150,2 ETH plus 31 204 USDC, tandis que la majorité des ICX a été tracée, gelée et reste en cours de récupération active.
Pourquoi c'est important
Le bug a modifié une partie d'un identifiant de retrait sans modifier la charge utile signée. Un changement visant à standardiser les messages de retrait à 32 octets a acheminé une partie du numéro de série via une logique de plage float64 au lieu d'une arithmétique entière exacte. L'attaquant a fait varier les bits hauts non signés tandis que la signature vérifiait toujours les mêmes 256 bits bas, contournant ainsi le contrôle d'unicité. Deux appels ont été annulés, et chaque appel réussi a crédité un portefeuille de relayer.
ICON a précisé que la faille était propre à son implémentation. Les autres chaînes supportées utilisaient des entiers de largeur fixe qui ne pouvaient pas créer cette discordance. Un audit de relais de novembre 2025 n'avait pas listé le code source du contrat de migration affecté, et aucune de ses neuf conclusions n'a signalé le problème de numéro de série.
Impact sur le marché
La libération de 119,9M ICX ne correspond pas à la perte confirmée. ICON a déclaré que la majorité des ICX a été tracée, gelée et est en cours de récupération, tandis que bnUSD et SODA ont été récupérés intégralement. Les ICX détenus en échange restent soumis à révision car les montants exacts détenus, convertis ou retirés n'étaient pas disponibles.
La surveillance s'est déclenchée à 02:08 UTC, mais le contrat a été mis en pause 105 minutes plus tard, après que les ICX avaient commencé à être déplacés vers des adresses de dépôt d'échange. Bitvavo, Bitget et KuCoin ont suspendu les transferts ICX, et le réseau s'est arrêté pendant environ 25 heures. Les totaux de récupération, les chiffres des échanges et la réponse à l'audit constituent les prochaines mises à jour importantes.
Questions fréquemment posées
-
Quelle était la perte nette confirmée de l'exploit ICON?
ICON a évalué la perte nette à ce jour à environ 150,2 ETH plus 31 204 USDC. La libération de 119 866 000 ICX n'était pas équivalente à la perte confirmée, car la majorité des ICX a été tracée, gelée et est en cours de récupération.
-
Comment la faille de rejeu a-t-elle fait apparaître les mêmes messages comme uniques?
Un changement visant à standardiser les messages de retrait à 32 octets a acheminé une partie du numéro de série via une logique de plage float64. L'attaquant a fait varier les bits hauts non signés, tandis que la vérification de signature couvrait toujours les 256 bits bas inchangés.
-
L'exploit a-t-il atteint les dépôts, soldes ou positions de trading des utilisateurs?
Non. ICON a indiqué que l'exploit a libéré des actifs détenus par la fondation et n'a pas accédé aux dépôts, soldes ou positions des utilisateurs.
-
Combien de temps ICON a-t-il mis pour mettre en pause le contrat affecté?
La surveillance s'est déclenchée à 02:08 UTC, et le contrat affecté a été mis en pause à 03:53, soit 105 minutes après l'alerte. Le réseau s'est ensuite arrêté pendant environ 25 heures.
-
Que reste-t-il d'incertain concernant la récupération des ICX?
Les chiffres des ICX détenus en échange restent soumis à révision, car les montants exacts détenus, convertis ou retirés n'étaient pas disponibles. ICON a déclaré que bnUSD et SODA ont été récupérés intégralement, tandis que la majorité des ICX a été tracée, gelée et est en cours de récupération.
CoinDesk
TheBlock
WuBlockchain