Iron Fish ogłosił zakończenie wszelkiego pozostałego wsparcia sieciowego po odkryciu błędu inflacyjnego sięgającego początku 2019 roku, który pozwolił atakującemu wielokrotnie wydawać te same chronione środki i wycofywać je przez most ChainPort.
Podsumowanie
- Iron Fish prześledził exploit do swojej implementacji drzewa Merkle'a i wady związanej z unieważniaczami not.
- Atakujący wielokrotnie wydawał te same noty przed agregacją środków i przeniesieniem ich przez ChainPort.
- Wewnętrzne i zewnętrzne audyty obejmowały dotkniętą ścieżkę kodu, ale nie zdołały zidentyfikować luki.
- Zespół poinformował, że zatwierdził poprawkę i dołączył analizę powłamaniową przed zarchiwizowaniem swojego repozytorium.
Według ogłoszenia Iron Fish, dochodzenie rozpoczęło się po tym, jak zespół zauważył kilka dni wcześniej nietypową aktywność związaną z wIRON i ChainPort. Współpracując z operatorem mostu i przeglądając jego logi, deweloperzy prześledzili problem do samego blockchaina Iron Fish.
Oświadczenie nie ujawniło łącznej kwoty wytworzonej przez exploit, wartości wycofanej przez most ani planu rekompensaty dla dotkniętych posiadaczy.
Iron Fish śledzi wielokrotne wydawanie do wady z 2019 roku
Zespół prześledził lukę do commita kodu z początku 2019 roku implementującego standardowe drzewo Merkle'a, strukturę używaną do organizowania i weryfikacji rekordów blockchaina.
W swoim wyjaśnieniu Iron Fish zidentyfikował interakcję między tą implementacją a sposobem obliczania unieważniacza noty. Unieważniacz jest częścią mechanizmu używanego do zapobiegania ponownemu wydawaniu chronionych środków po transakcji.
Z powodu wady atakujący mógł wydać tę samą notę więcej niż raz. Iron Fish poinformował, że atakujący spotęgował exploit, zebrał powstałe noty i przeniósł środki przez ChainPort.
„Ta ścieżka kodu znajdowała się w zakresie zarówno naszych zewnętrznych, jak i wewnętrznych audytów” – napisał zespół, przyznając jednocześnie, że recenzenci przeoczyli błąd.
Przed wycofaniem wsparcia deweloperzy poinformowali, że zatwierdzili poprawkę i dołączyli szczegółową analizę powłamaniową do powiązanego pull requesta. Ogłoszenie opisało zamknięcie i zarchiwizowanie repozytorium jako końcowe kroki.
Zakończenie wsparcia deweloperskiego samo w sobie nie dowodzi, że każdy niezależnie obsługiwany węzeł został zatrzymany. Oświadczenie konkretnie ogłosiło wycofanie wszelkiego pozostałego wsparcia dla sieci.
Wykresy wIRON pokazują załamanie pary handlowej na Base
Zrzuty ekranu udostępnione przez traderów AzFlin i Abu pokazały gwałtowny spadek wyświetlanej kapitalizacji rynkowej wIRON, opakowanego tokena handlowanego na Base.
AzFlin opisał spadek z około 200 milionów dolarów do 2000 dolarów. Jego zrzut ekranu pary wIRON/USDC na Aerodrome pokazywał kapitalizację rynkową blisko 1900 dolarów i zaledwie 302 dolary płynności, wraz z ostrzeżeniem, że para ma bardzo małą płynność.
Abu udostępnił osobny wykres pokazujący wyświetlaną kapitalizację około 1600 dolarów po załamaniu.
Te liczby opisują wycenę pary handlowej opakowanego tokena. Nie dowodzą, że atakujący ukradł 200 milionów dolarów, a ogłoszenie Iron Fish nie podało szacunku strat w dolarach.
Związek projektu z Base sięga czasów przed incydentem. W październiku 2025 roku crypto.news wcześniej informował, że Base rozwija prywatne transakcje po przejęciu zespołu deweloperskiego Iron Fish w marcu tego roku.
Dyrektor generalny Coinbase Brian Armstrong opisał to przejęcie jako włączenie zespołu do Base w celu pracy nad infrastrukturą prywatności. Raport opisał wykorzystanie przez Iron Fish dowodów zerowej wiedzy do ukrywania szczegółów transakcji oraz jego powiązania z innymi blockchainami poprzez ChainPort.
Wcześniejsze audyty badały kod rdzenia protokołu i kopania
Opublikowana historia bezpieczeństwa Iron Fish obejmuje audyt rdzenia protokołu przeprowadzony przez Inversed Tech, sfinalizowany 1 czerwca 2023 roku.
Przegląd obejmował projekt protokołu, implementację mechanizmu prywatności w Rust oraz obwody dowodów zerowej wiedzy. Iron Fish wymienił 37 ustaleń, w tym trzy krytyczne problemy i jedno ostrzeżenie, i poinformował, że zidentyfikowane problemy zostały rozwiązane i ponownie sprawdzone.
Jednym z krytycznych problemów odkrytych przed uruchomieniem sieci głównej była zmienność identyfikatorów aktywów, która mogła naruszyć wymóg równoważenia wejść i wyjść transakcji dla każdego aktywa. Deweloperzy rozwiązali ten problem przed uruchomieniem sieci 20 kwietnia 2023 r.
Osobny przegląd FishHash zaangażował Trail of Bits. Zlecony w styczniu 2024 r. siedmiodniowy audyt obejmował specyfikację algorytmu wydobywczego oraz implementacje CPU w Rust i C++.
Jego określony zakres dotyczył wydajności wydobycia, wymagań pamięciowych oraz odporności na specjalizowany sprzęt.
Udokumentowana rola ChainPort wykraczała poza przenoszenie aktywów. W sierpniowym komunikacie bezpieczeństwa z 2024 r. Iron Fish Foundation opisała screening adresów przez most, w tym kontrole względem list sankcji Biura Kontroli Aktywów Zagranicznych Stanów Zjednoczonych.
Ten sam komunikat stwierdzał, że ChainPort może zamrażać dotknięte tokeny i badać podejrzaną aktywność, z możliwością zamrażania aktywów pod określonymi adresami lub palenia środków zidentyfikowanych jako złośliwe.
