CVE-2026-61604

Ixo Blockchain to łańcuch bloków warstwy 1, który działa zarówno w sieci testowej, jak i głównej. Przed wersją 8.0.0 moduł x/bonds przenosił środki z adresu, który został rozpoznany metodą weryfikacji DID, bez sprawdzania, czy rozpoznany adres należał do podpisującego transakcję. Dotknięte moduły obsługi to MsgMakeOutcomePayment, MsgBuy, MsgSell, MsgSwap i MsgWithdrawShare, a także procesor zamówień wsadowych. Ponieważ każde konto może podać dowolny identyfikator blockchainAccountID jako metodę weryfikacji kontrolowanego przez siebie DID (bez zgody właściciela tego adresu), osoba atakująca może zarejestrować adresy ofiar jako metody weryfikacji na własnym DID, a następnie przenieść salda ofiar do obligacji kontrolowanej przez atakującego – później wycofując i łącząc wpływy poza łańcuchem. Zostało to wykorzystane w sieci głównej ixo (ixo-5) 20.06.2026. Atak nie wymagał kluczy ofiary, podpisów ani kompromisów w systemie – każde konto posiadające saldo w tokenie, którego mogła użyć obligacja, było zagrożone. Zostało to naprawione w wersji 8.0.0, dostarczonej poprzez aktualizację oprogramowania do wersji 8 w łańcuchu. Moduł x/bonds jest wyłączony: każda wiadomość dotycząca obligacji jest odrzucana na wszystkich trasach (najwyższego poziomu, authz, CosmWasm i ICA), a pakiet obligacji EndBlocker nie działa, więc nie mogą wystąpić żadne dalsze ruchy rezerwowe. Wszyscy operatorzy węzłów i walidatorzy muszą dokonać aktualizacji do wersji 8.0.0. Błąd tkwi w logice łańcucha stanów maszyny i można go naprawić jedynie poprzez uruchomienie poprawionego pliku binarnego. Nie ma obejścia na poziomie aplikacji. Luka leży w logice konsensusu; naprawa wymaga, aby sieć uruchomiła poprawiony plik binarny (wersja 8.0.0). Moduł obligacji pozostaje wyłączony w wersji 8.0.0 i zostanie ponownie włączony w przyszłej wersji po poprawieniu modelu autoryzacji osoby podpisującej.