CVE-2026-61604

ixo Blockchain həm Testnet, həm də Mainnet üzərində işləyən Layer 1 blokçeynidir. Versiya 8.0.0-dan əvvəl x/bonds modulu, həll edilmiş ünvanın tranzaksiya imzalayan şəxsə məxsus olduğunu yoxlamadan, DID verifikasiya metodundan əldə edilən ünvandan vəsaitləri köçürürdü. Təsirə məruz qalan handler-lərə MsgMakeOutcomePayment, MsgBuy, MsgSell, MsgSwap və MsgWithdrawShare, eləcə də toplu sifariş prosessoru daxil idi. Hər hansı hesab, idarə etdiyi DID-də ixtiyari bir blockchainAccountID-ni verifikasiya metodu kimi qeyd edə bildiyi üçün (həmin ünvan sahibinin razılığı olmadan), hücumçu qurbanların ünvanlarını öz DID-lərində verifikasiya metodları kimi qeydiyyatdan keçirə və sonra qurbanların balansını özünün nəzarət etdiyi bond-a köçürə bilərdi — daha sonra isə gəlirləri çıxarıb zəncirdən kənara (off-chain) körpüləyə bilərdi. Bu boşluq 2026-06-20 tarixində ixo mainnet-də (ixo-5) istismar edilmişdir. Hücum üçün qurbanın açarları, imzaları və ya sistemin kompromisə uğraması tələb olunmayıb — bond tərəfindən istifadə oluna bilən tokendə balansı olan hər hansı hesab risk altında idi. Bu problem on-chain v8 proqram təminatı yeniləməsi vasitəsilə çatdırılan v8.0.0 versiyasında düzəldilmişdir. x/bonds modulu deaktiv edilib: bütün bonds mesajları bütün marşrutlarda (top-level, authz, CosmWasm və ICA) rədd edilir və bonds toplu EndBlocker funksiyası no-op olduğu üçün daha çox ehtiyat vəsaitlərinin hərəkəti baş verməyəcək. Bütün nod operatorları və validatorlar v8.0.0 versiyasına yüksəltmə etməlidirlər. Qüsur zəncirin state-machine məntiqindədir və yalnız yamalanmış binary faylının işlədilməsi ilə aradan qaldırıla bilər. Tətbiq səviyyəsində heç bir alternativ həll yolu yoxdur. Zəiflik konsensus məntiqindədir; aradan qaldırılması üçün şəbəkənin yamalanmış (v8.0.0) binary faylını işlətməsi tələb olunur. Bonds modulu v8.0.0 versiyasında deaktiv qalmaqdadır və yalnız imza-avtorizasiya modeli düzəldildikdən sonra gələcək buraxılışda yenidən aktivləşdiriləcək.