Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

security: DinEmission.fundGI lets anyone use up a model's emission schedule on far-future GIs

Đang mở
  • Có gì không ổn?
#238 3 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
45/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
solidity
Lĩnh vực
blockchain, security

Hướng nghiên cứu

Read foundry/src/DinEmission.sol around fundGI and _advanceEpoch, then foundry/src/DINTaskAuditor.sol around depositRewards and the coordinator’s startGI check. The issue lists three possible fixes; first compare how each preserves permissionless funding while preventing far-future GIs from advancing the schedule. Add regression tests for far-future rejection, normal funding and the 1,000-call exhaustion case.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Summary

DinEmission.fundGI(gi, taskAuditor) is permissionless, and it accepts any gi. The only bound is DINTaskAuditor.depositRewards's check that gi >= coordinator.GI(). The decay schedule advances once per call, not per real GI, so anyone can use up a registered model's entire emission schedule by funding GIs that will never run. Real GIs then get nothing from emission.

This is the follow-up to the PR No. 234 review (finding No. 3). It existed before that PR. #226's fix limits which auditor can be funded, not which GI.

Where

foundry/src/DinEmission.sol:

  • fundGI (:212): checks the zero address, registry membership, disabled model and the funded-GI flag, then EmissionExhausted (:224). Nothing relates gi to the model's actual progress.
  • _advanceEpoch (:295): increments gisInCurrentEpoch on every successful fundGI and moves to the next, decayed epoch after epochLength calls.

foundry/src/DINTaskAuditor.sol:

  • depositRewards (:481): if (gi == 0 || gi < dintaskcoordinatorContract.GI()) revert TA_InvalidRewardGI();. This sets a lower bound only.

Impact

  • Any address calls fundGI(1e12 + i, auditor) for i < epochLength × maxEpochs. With the deploy defaults (EMISSION_EPOCH_LENGTH=100, EMISSION_MAX_EPOCHS=10) that is 1,000 calls, gas only.
  • Afterwards fundGI(realGI, auditor) reverts EmissionExhausted. The model's whole subsidy sits in giRewardPool[1e12 + i] for GIs that will never start.
  • Nothing is stolen: the DIN stays in the model's own auditor. This is griefing, not theft. It still permanently removes the protocol subsidy for that model and inflates totalEmitted and DIN supply with tokens nobody can reach.
  • A smaller version needs no far-future GIs: funding the next N real GIs early front-loads the undecayed epochs. That is mostly harmless, since those GIs do run.

Verified during the PR No. 234 review with a scratch test on the PR head (50 calls with the test fixture's epochLength × maxEpochs). The test passes, so the griefing works today.

The NatSpec argument doesn't cover gi

fundGI's NatSpec says there's "no benefit to restricting the caller" because the amount is schedule-deterministic. That holds for the amount. It doesn't hold for gi, which the caller picks freely, and the schedule only moves forward.

Possible fixes (for discussion)

  1. Bound gi to the model's real progress. Require gi == C.GI() or gi == C.GI() + 1, where C = IDINTaskAuditor(taskAuditor).dintaskcoordinatorContract(). startGI (DINTaskCoordinator.sol:379) checks giRewardPool of the GI it is about to start, so GI() + 1 is the one that needs funding. This keeps fundGI permissionless. The new auditor call is safe because the auditor is now registry-validated (#226).
  2. Restrict the caller to the model owner, or the DIN-Representative, for that taskAuditor's model. This is simpler to reason about, but drops the "anyone can trigger the subsidy" property.
  3. Key the schedule by GI number instead of call count, so the epoch is (gi − 1) / epochLength. This removes the incentive entirely. It is a larger change to EmissionState (adds storage; keep __gap at 50 per storage_layout.md Core rules).

Option 1 looks like the smallest change. Whichever is chosen, the planned dincli model-owner rewards fund-emission <model_id> --gi N command (task_061026_21) should follow it.

Tests to add

  • An arbitrary caller's fundGI(far-future gi, registeredAuditor) reverts, and the schedule is untouched.
  • fundGI(GI() + 1, …) still succeeds, and startGI then passes TC_GIRewardPoolNotFunded.
  • The full 1,000-call exhaustion PoC (deploy defaults) as a regression test.
Ngôn ngữ chính
Python
Star
4
Fork
7
Merge trung bình
3 ngày 4 giờ
Pull request đã merge (30 ngày)
34

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của InfiniteZeroFoundation/DevNet

Tất cả issue của InfiniteZeroFoundation/DevNet

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.