Security Research — TRON DAO (java-tron)

Descrição:

Auditoria de segurança em código-fonte contra o programa HackerOne da TRON DAO, com foco no repositório principal tronprotocol/java-tron (toda a base de blockchain, incluindo a TVM — Tron Virtual Machine).

Trabalho cobriu múltiplas camadas do sistema: actuators de transação, processamento de energia/gas, precompiles nativos da TVM, camada JSON-RPC, validação de assinaturas multi-sig, e o pool shielded (privacidade via zk-proofs).

Principais achados (8 reports submetidos):

Critical — CVSS 9.1: Integer underflow em ValidateMultiSign, resultando em valor de energia negativo (-1500). Falha crítica de validação que poderia ser explorada para manipular o custo computacional de transações na rede. High: Ausência de checkedAdd em CancelAllUnfreezeV2, abrindo brecha para overflow no fluxo de unfreeze de saldo. High: Falha em EnergyProcessor.scaleByRate, afetando o cálculo correto de energia cobrada por transação. Reports adicionais relacionados a validação de assinatura, controle de versão de fork e inconsistências de processamento de exceção na TVM.

Metodologia:

Revisão manual linha a linha dos actuators e módulos críticos (sem depender de scanners automatizados) Validação cruzada de cada hipótese contra o estado real da mainnet (via wallet/getchainparameters) antes de reportar, evitando falsos positivos de bugs já corrigidos por fork Deploy de contrato Solidity próprio em testnet Nile para gerar PoC funcional e reproduzível do underflow de energia Análise de forks ativos (ForkController/VERSION_4_8_2_2, ativação Osaka) para confirmar se vulnerabilidades candidatas ainda estavam explorável em produção

Stack/skills: Java, Solidity, Foundry, blockchain security, EVM/TVM internals, integer overflow/underflow, cryptographic validation (zk-SNARK/shielded pool), source-code review em larga escala.