Iron Fish оголосив про припинення всієї залишкової підтримки мережі після виявлення помилки інфляції, що сягає початку 2019 року, яка дозволила зловмиснику багаторазово витрачати одні й ті самі захищені кошти та виводити їх через міст ChainPort.
Короткий зміст
- Iron Fish відстежив експлойт до своєї реалізації дерева Меркла та недоліку, пов'язаного з нуліфікаторами нот.
- Зловмисник багаторазово витрачав одні й ті самі ноти, перш ніж агрегувати кошти та перемістити їх через ChainPort.
- Внутрішні та зовнішні аудити охоплювали уражений шлях коду, але не змогли виявити вразливість.
- Команда заявила, що зафіксувала патч і включила постмортем перед архівуванням свого репозиторію.
Згідно з оголошенням Iron Fish, розслідування розпочалося після того, як команда кількома днями раніше помітила аномальну активність, пов'язану з wIRON і ChainPort. Працюючи з оператором мосту та переглядаючи його журнали, розробники відстежили проблему до самого блокчейну Iron Fish.
У заяві не було розкрито загальну суму, створену через експлойт, вартість, виведену через міст, або план компенсації для постраждалих власників.
Iron Fish відстежує повторні витрати до недоліку 2019 року
Команда відстежила вразливість до коміту коду початку 2019 року, що реалізував стандартне дерево Меркла — структуру, яка використовується для організації та перевірки записів блокчейну.
У своєму поясненні Iron Fish визначив взаємодію між цією реалізацією та способом обчислення нуліфікатора ноти. Нуліфікатор є частиною механізму, що використовується для запобігання повторному витрачанню захищених коштів після транзакції.
Через цей недолік зловмисник міг витратити одну й ту саму ноту більше одного разу. Iron Fish заявив, що зловмисник посилив експлойт, зібрав отримані ноти та вивів кошти через ChainPort.
«Цей шлях коду був у межах як наших зовнішніх, так і внутрішніх аудитів», — написала команда, визнаючи, що рецензенти пропустили помилку.
Перед припиненням підтримки розробники заявили, що зафіксували патч і включили детальний постмортем у відповідний pull request. В оголошенні закриття та архівування репозиторію було описано як останні кроки.
Припинення підтримки розробників саме по собі не встановлює, що кожен незалежно керований вузол зупинився. У заяві конкретно оголошено про відкликання всієї залишкової підтримки мережі.
Графіки wIRON показують обвал торгової пари на Base
Скріншоти, поширені трейдерами AzFlin і Abu, показали різке падіння відображуваної ринкової капіталізації wIRON — обгорнутого токена, що торгується на Base.
AzFlin описав падіння з приблизно 200 мільйонів доларів до 2000 доларів. Його скріншот пари wIRON/USDC на Aerodrome показав ринкову капіталізацію близько 1900 доларів і лише 302 долари ліквідності, поряд із попередженням, що пара має дуже мало ліквідності.
Abu поділився окремим графіком, що показував відображувану капіталізацію приблизно 1600 доларів після обвалу.
Ці цифри описують оцінку торгової пари обгорнутого токена. Вони не встановлюють, що зловмисник викрав 200 мільйонів доларів, і оголошення Iron Fish не надало оцінки збитків у доларах.
Зв'язок проєкту з Base передує інциденту. У жовтні 2025 року crypto.news раніше повідомляв, що Base розробляє приватні транзакції після придбання команди розробників Iron Fish у березні того року.
Генеральний директор Coinbase Браян Армстронг описав це придбання як залучення команди до Base для роботи над інфраструктурою конфіденційності. У звіті було описано використання Iron Fish доказів з нульовим розголошенням для приховування деталей транзакцій та його зв'язки з іншими блокчейнами через ChainPort.
Ранні аудити досліджували основний протокол і код майнінгу
Опублікована історія безпеки Iron Fish включає аудит основного протоколу від Inversed Tech, завершений 1 червня 2023 року.
Огляд охоплював дизайн протоколу, реалізацію його механізму конфіденційності мовою Rust та схеми доказів з нульовим розголошенням. Iron Fish перелічив 37 знахідок, включаючи три критичні проблеми та одне попередження, і заявив, що виявлені проблеми були вирішені та перевірені повторно.
Одна критична проблема, виявлена перед запуском основної мережі, стосувалася змінюваності ідентифікаторів активів, що могло порушити вимогу щодо балансування входів і виходів транзакцій для кожного активу. Розробники вирішили цю проблему до запуску мережі 20 квітня 2023 року.
Окремий огляд FishHash за участю Trail of Bits. Замовлене в січні 2024 року, семиденне оцінювання досліджувало специфікацію алгоритму майнінгу та реалізації на CPU мовами Rust і C++.
Заявлена сфера охоплювала продуктивність майнінгу, вимоги до пам'яті та стійкість до спеціалізованого обладнання.
Задокументована роль ChainPort виходила за межі переміщення активів. У повідомленні про безпеку від серпня 2024 року Iron Fish Foundation описав перевірку адрес мосту, включно з перевірками щодо списків санкцій Управління з контролю за іноземними активами США.
У тому ж повідомленні зазначалося, що ChainPort може заморожувати уражені токени та розслідувати підозрілу активність, маючи можливість заморожувати активи на конкретних адресах або спалювати кошти, визначені як зловмисні.
