Iron Fish Annoncerer Afslutning på Netværksupport
Iron Fish har annonceret afslutningen på al netværksupport efter at have afdækket en inflationsfejl, der går tilbage til begyndelsen af 2019. Denne fejl gjorde det muligt for en angriber at bruge de samme skjulte midler gentagne gange og trække sig tilbage gennem ChainPort-broen.
Undersøgelse og Fejlens Oprindelse
Ifølge Iron Fish’s meddelelse begyndte undersøgelsen, efter at teamet bemærkede unormal aktivitet involverende wIRON og ChainPort flere dage tidligere. I samarbejde med brooperatøren og ved at gennemgå logfilerne, sporede udviklerne problemet til Iron Fish blockchainen selv.
“Denne kodevej var inden for rammerne af både vores eksterne og interne revisioner,” skrev teamet, mens de anerkendte, at gennemgåere havde overset fejlen.
Udtalelsen afslørede ikke det samlede beløb, der blev skabt gennem udnyttelsen, værdien trukket gennem broen, eller en kompensationsplan for berørte indehavere. Teamet sporede sårbarheden til et kodecommit fra tidligt i 2019, der implementerede et standard Merkle-træ, en struktur der bruges til at organisere og verificere blockchain-optegnelser.
Fejlens Indvirkning
I sin forklaring identificerede Iron Fish en interaktion mellem denne implementering og den måde, hvorpå en notes nullifier beregnes. En nullifier er en del af mekanismen, der bruges til at forhindre skjulte midler i at blive brugt igen efter en transaktion. På grund af fejlen kunne angriberen bruge den samme note mere end én gang.
Iron Fish sagde, at angriberen forstærkede udnyttelsen, samlede de resulterende noter og flyttede midler ud gennem ChainPort.
Markedsreaktion og Værdifald
Skærmbilleder delt af handlende AzFlin og Abu viste et kraftigt fald i den viste markedsværdi af wIRON, den indpakkede token, der handles på Base. AzFlin beskrev et fald fra cirka $200 millioner til $2,000.
Disse tal beskriver den indpakkede tokens handelsparværdi. De fastslår ikke, at angriberen stjal $200 millioner, og Iron Fish’s meddelelse gav ingen estimater for dollar tab.
Forbindelse til Base og Sikkerhedshistorik
Projektets forbindelse til Base går forud for hændelsen. I oktober 2025 rapporterede crypto.news tidligere, at Base udviklede private transaktioner efter at have erhvervet Iron Fish udviklingsteamet i marts samme år. Coinbase CEO Brian Armstrong beskrev erhvervelsen som at bringe teamet ind i Base for at arbejde på privatlivsinfrastruktur.
Iron Fish’s offentliggjorte sikkerhedshistorik inkluderer en kerneprotokolrevision af Inversed Tech, afsluttet den 1. juni 2023. Gennemgangen dækkede protokoldesign, Rust-implementeringen af dens privatlivsmekanisme og nul-videns bevis kredsløb.
Iron Fish listede 37 fund, herunder tre kritiske problemer og én advarsel, og sagde, at de identificerede problemer var blevet løst og tjekket igen. Et kritisk problem opdaget før mainnet lanceringen involverede aktiv-ID malleabilitet, som kunne have brudt kravet om, at transaktionsindgange og -udgange balancerer for hvert aktiv.
Udviklerne adresserede dette problem, før netværket blev lanceret den 20. april 2023.
ChainPort’s Rolle og Sikkerhedsforanstaltninger
ChainPorts dokumenterede rolle strakte sig ud over at flytte aktiver. I en sikkerhedsmeddelelse fra august 2024 beskrev Iron Fish Foundation broens adresse screening, herunder kontroller mod U.S. Office of Foreign Assets Control sanktionslister.
Den samme meddelelse sagde, at ChainPort kunne fryse berørte tokens og undersøge mistænkelig aktivitet, med mulighed for at fryse aktiver på bestemte adresser eller brænde midler, der blev identificeret som ondsindede.
