Iron Fish a annoncé la fin de tout support réseau restant après avoir découvert un bug d'inflation remontant au début de 2019 qui permettait à un attaquant de dépenser à plusieurs reprises les mêmes fonds protégés et de sortir via le pont ChainPort.
Résumé
- Iron Fish a retracé l'exploit jusqu'à son implémentation de l'arbre de Merkle et à une faille impliquant les nullifiers de notes.
- L'attaquant a dépensé à plusieurs reprises les mêmes notes avant d'agréger les fonds et de les déplacer via ChainPort.
- Des audits internes et externes ont couvert le chemin de code affecté mais n'ont pas réussi à identifier la vulnérabilité.
- L'équipe a déclaré avoir commité un correctif et inclus une analyse post-mortem avant d'archiver son dépôt.
Selon l'annonce d'Iron Fish, l'enquête a débuté après que l'équipe a remarqué une activité anormale impliquant wIRON et ChainPort plusieurs jours plus tôt. En collaboration avec l'opérateur du pont et en examinant ses journaux, les développeurs ont retracé le problème jusqu'à la blockchain Iron Fish elle-même.
La déclaration n'a pas divulgué le montant total créé par l'exploit, la valeur retirée via le pont, ni un plan de compensation pour les détenteurs affectés.
Iron Fish retrace les dépenses répétées à une faille de 2019
L'équipe a retracé la vulnérabilité à un commit de code du début de 2019 implémentant un arbre de Merkle standard, une structure utilisée pour organiser et vérifier les enregistrements de la blockchain.
Dans son explication, Iron Fish a identifié une interaction entre cette implémentation et la manière dont le nullifier d'une note est calculé. Un nullifier fait partie du mécanisme utilisé pour empêcher que les fonds protégés soient dépensés à nouveau après une transaction.
En raison de la faille, l'attaquant pouvait dépenser la même note plus d'une fois. Iron Fish a déclaré que l'attaquant avait aggravé l'exploit, rassemblé les notes résultantes et déplacé les fonds via ChainPort.
« Ce chemin de code faisait partie du périmètre de nos audits externes et internes », a écrit l'équipe, tout en reconnaissant que les réviseurs avaient manqué le bug.
Avant de retirer le support, les développeurs ont déclaré avoir commité un correctif et inclus une analyse post-mortem détaillée dans la pull request associée. L'annonce a décrit l'arrêt et l'archivage du dépôt comme les étapes finales.
La fin du support des développeurs n'établit pas, en soi, que chaque nœud exploité indépendamment s'est arrêté. La déclaration a spécifiquement annoncé le retrait de tout support restant pour le réseau.
Les graphiques wIRON montrent un effondrement de la paire de trading sur Base
Les captures d'écran partagées par les traders AzFlin et Abu montraient une chute abrupte de la capitalisation boursière affichée de wIRON, le token enveloppé se négociant sur Base.
AzFlin a décrit une baisse d'environ 200 millions de dollars à 2 000 dollars. Sa capture d'écran de la paire wIRON/USDC sur Aerodrome affichait une capitalisation boursière proche de 1 900 dollars et seulement 302 dollars de liquidité, accompagnée d'un avertissement indiquant que la paire avait très peu de liquidité.
Abu a partagé un graphique séparé montrant une capitalisation affichée d'environ 1 600 dollars après l'effondrement.
Ces chiffres décrivent la valorisation de la paire de trading du token enveloppé. Ils n'établissent pas que l'attaquant a volé 200 millions de dollars, et l'annonce d'Iron Fish n'a fourni aucune estimation des pertes en dollars.
Le lien du projet avec Base est antérieur à l'incident. En octobre 2025, crypto.news avait précédemment rapporté que Base développait des transactions privées après avoir acquis l'équipe de développement d'Iron Fish en mars de cette année-là.
Le PDG de Coinbase, Brian Armstrong, a décrit l'acquisition comme l'intégration de l'équipe à Base pour travailler sur l'infrastructure de confidentialité. Le rapport décrivait l'utilisation par Iron Fish de preuves à divulgation nulle de connaissance pour dissimuler les détails des transactions et ses connexions à d'autres blockchains via ChainPort.
Des audits antérieurs ont examiné le protocole de base et le code de minage
L'historique de sécurité publié d'Iron Fish comprend un audit du protocole de base par Inversed Tech, finalisé le 1er juin 2023.
L'examen couvrait la conception du protocole, l'implémentation en Rust de son mécanisme de confidentialité et les circuits de preuve à divulgation nulle de connaissance. Iron Fish a listé 37 constatations, dont trois problèmes critiques et un avertissement, et a déclaré que les problèmes identifiés avaient été résolus et vérifiés à nouveau.
Un problème critique découvert avant le lancement du réseau principal concernait la malléabilité des identifiants d'actifs, qui aurait pu enfreindre l'exigence selon laquelle les entrées et sorties de transaction doivent être équilibrées pour chaque actif. Les développeurs ont résolu ce problème avant le lancement du réseau le 20 avril 2023.
Une revue distincte de FishHash a impliqué Trail of Bits. Commandée en janvier 2024, l'évaluation de sept jours a examiné la spécification de l'algorithme de minage et les implémentations CPU en Rust et C++.
Son périmètre déclaré concernait les performances de minage, les exigences de mémoire et la résistance aux matériels spécialisés.
Le rôle documenté de ChainPort s'étendait au-delà du transfert d'actifs. Dans un avis de sécurité d'août 2024, la Iron Fish Foundation a décrit le filtrage d'adresses du pont, y compris les vérifications par rapport aux listes de sanctions de l'Office of Foreign Assets Control des États-Unis.
Le même avis indiquait que ChainPort pouvait geler les jetons concernés et enquêter sur les activités suspectes, avec la capacité de geler les actifs à des adresses particulières ou de brûler les fonds identifiés comme malveillants.
