Iron Fish Avslutter Nettverksstøtte
Iron Fish har annonsert at de avslutter all gjenværende nettverksstøtte etter å ha avdekket en inflasjonsfeil som går tilbake til tidlig 2019. Denne feilen tillot en angriper å bruke de samme skjermede midlene gjentatte ganger og trekke seg ut gjennom ChainPort-broen.
Undersøkelse og Avdekkelse av Feilen
Ifølge Iron Fishs kunngjøring begynte etterforskningen etter at teamet la merke til unormal aktivitet knyttet til wIRON og ChainPort flere dager tidligere. I samarbeid med brooperatøren og ved å gjennomgå loggene, sporet utviklerne problemet tilbake til Iron Fish-blokkjeden selv.
«Denne kodeveien var innenfor omfanget av både våre eksterne og interne revisjoner,» skrev teamet, samtidig som de anerkjente at vurdererne hadde oversett feilen.
Uttalelsen avslørte ikke det totale beløpet som ble skapt gjennom utnyttelsen, verdien som ble trukket ut gjennom broen, eller en kompensasjonsplan for berørte innehavere. Teamet sporet sårbarheten til et kodekommittement fra tidlig 2019 som implementerte et standard Merkle-tre, en struktur som brukes til å organisere og verifisere blokkjedeoppføringer.
Feilens Konsekvenser
Iron Fish identifiserte en interaksjon mellom denne implementeringen og måten en nullifier beregnes på. En nullifier er en del av mekanismen som brukes for å forhindre at skjermede midler brukes igjen etter en transaksjon. På grunn av feilen kunne angriperen bruke den samme noten mer enn én gang. Iron Fish sa at angriperen forsterket utnyttelsen, samlet de resulterende notene og flyttet midler ut gjennom ChainPort.
Markedsreaksjon
Skjermbilder delt av tradere AzFlin og Abu viste et bratt fall i den viste markedsverdien av wIRON, den innpakkede token som handles på Base. AzFlin beskrev et fall fra omtrent 200 millioner dollar til 2 000 dollar. Hans skjermbilde av wIRON/USDC-paret på Aerodrome viste en markedsverdi nær 1 900 dollar og bare 302 dollar i likviditet.
Disse tallene beskriver den innpakkede tokenens handelsparverdi, men de etablerer ikke at angriperen stjal 200 millioner dollar, og Iron Fishs kunngjøring ga ingen estimat for dollar tap.
Prosjektets Historikk og Revisjoner
Prosjektets tilknytning til Base går forut for hendelsen. I oktober 2025 rapporterte crypto.news tidligere at Base utviklet private transaksjoner etter å ha anskaffet Iron Fish-utviklingsteamet i mars det året. Coinbase CEO Brian Armstrong beskrev oppkjøpet som å bringe teamet inn i Base for å jobbe med personvernsinfrastruktur.
Iron Fishs publiserte sikkerhetshistorie inkluderer en kjerneprotokollrevisjon av Inversed Tech, avsluttet 1. juni 2023. Gjennomgangen dekket protokollens design, Rust-implementeringen av dens personvernmekanisme, og nullkunnskapsbeviskretser. Iron Fish listet 37 funn, inkludert tre kritiske problemer og én advarsel, og sa at de identifiserte problemene ble løst og sjekket igjen.
ChainPorts Rolle
ChainPorts dokumenterte rolle strakte seg utover å flytte eiendeler. I en sikkerhetsmelding fra august 2024 beskrev Iron Fish Foundation broens adressekontroll, inkludert sjekker mot U.S. Office of Foreign Assets Control sanksjonslister. Den samme meldingen sa at ChainPort kunne fryse berørte tokens og undersøke mistenkelig aktivitet, med muligheten til å fryse eiendeler på bestemte adresser eller brenne midler identifisert som ondsinnede.
