Iron Fish Meddelar Upphörande av Nätverksstöd
Iron Fish har meddelat att allt kvarvarande nätverksstöd upphör efter att en inflationsbugg, som går tillbaka till början av 2019, upptäcktes. Denna bugg gjorde det möjligt för en angripare att spendera samma skyddade medel flera gånger och ta sig ut genom ChainPort-bryggan.
Utredning och Identifiering av Sårbarhet
Enligt Iron Fishs meddelande inleddes utredningen efter att teamet märkt avvikande aktivitet som involverade wIRON och ChainPort flera dagar tidigare. Genom att samarbeta med bryggoperatören och granska dess loggar spårade utvecklarna problemet till Iron Fish-blockkedjan.
”Denna kodväg var inom ramen för både våra externa och interna revisioner,” skrev teamet, samtidigt som de erkände att granskare hade missat buggen.
Uttalandet avslöjade inte det totala belopp som skapades genom utnyttjandet, värdet som drogs tillbaka genom bryggan eller en kompensationsplan för drabbade innehavare. Teamet spårade sårbarheten till en kodkommitté från tidigt 2019 som implementerade en standard Merkle-träd, en struktur som används för att organisera och verifiera blockkedjeuppgifter.
Effekter av Utnyttjandet
Iron Fish meddelade att angriparen förvärrade utnyttjandet, samlade de resulterande noterna och flyttade medel ut genom ChainPort. Innan stödet drogs tillbaka sa utvecklarna att de hade åtagit sig att åtgärda problemet och inkluderat en detaljerad postmortem i den tillhörande pull-förfrågan.
Skärmdumpar som delades av handlarna AzFlin och Abu visade en kraftig nedgång i den visade marknadskapitaliseringen av wIRON, den inslagna token som handlas på Base. AzFlin beskrev en nedgång från cirka 200 miljoner dollar till 2 000 dollar.
Projektets Historik och Säkerhet
Iron Fishs publicerade säkerhetshistorik inkluderar en kärnprotokollrevision av Inversed Tech, som avslutades den 1 juni 2023. Granskningen omfattade protokolldesign, Rust-implementeringen av dess integritetsmekanism och zero-knowledge proof-kretsar. Iron Fish listade 37 fynd, inklusive tre kritiska problem och en varning, och sa att de identifierade problemen hade åtgärdats och kontrollerats igen.
En separat FishHash-granskning involverade Trail of Bits. Beställd i januari 2024, granskade den sju dagar långa bedömningen specifikationen för gruvalgoritmen och CPU-implementationer i Rust och C++. Dess angivna omfattning rörde gruvprestanda, minneskrav och motstånd mot specialiserad hårdvara.
ChainPorts Roll och Säkerhetsåtgärder
ChainPorts dokumenterade roll sträckte sig bortom att flytta tillgångar. I en säkerhetsnotis från augusti 2024 beskrev Iron Fish Foundation bryggans adresskontroll, inklusive kontroller mot U.S. Office of Foreign Assets Control:s sanktionslistor. Samma notis sa att ChainPort kunde frysa berörda tokens och undersöka misstänkt aktivitet, med möjlighet att frysa tillgångar på särskilda adresser eller bränna medel som identifierats som skadliga.
