A Iron Fish anunciou o fim de todo o suporte de rede restante após descobrir um bug de inflação que remonta ao início de 2019 e que permitiu a um atacante gastar repetidamente os mesmos fundos protegidos e sair pela ponte ChainPort.
Resumo
- A Iron Fish rastreou o exploit até sua implementação de árvore Merkle e uma falha envolvendo nullifiers de notas.
- O atacante gastou repetidamente as mesmas notas antes de agregar fundos e movê-los pelo ChainPort.
- Auditorias internas e externas cobriram o caminho de código afetado, mas não conseguiram identificar a vulnerabilidade.
- A equipe disse que commitou um patch e incluiu um postmortem antes de arquivar seu repositório.
De acordo com o anúncio da Iron Fish, a investigação começou depois que a equipe notou atividade anormal envolvendo wIRON e ChainPort vários dias antes. Trabalhando com o operador da ponte e revisando seus logs, os desenvolvedores rastrearam o problema até a própria blockchain da Iron Fish.
A declaração não divulgou o valor total criado por meio do exploit, o valor sacado pela ponte ou um plano de compensação para os detentores afetados.
Iron Fish rastreia gastos repetidos até uma falha de 2019
A equipe rastreou a vulnerabilidade até um commit de código do início de 2019 que implementava uma árvore Merkle padrão, uma estrutura usada para organizar e verificar registros de blockchain.
Em sua explicação, a Iron Fish identificou uma interação entre essa implementação e a forma como o nullifier de uma nota é calculado. Um nullifier é parte do mecanismo usado para impedir que fundos protegidos sejam gastos novamente após uma transação.
Por causa da falha, o atacante pôde gastar a mesma nota mais de uma vez. A Iron Fish disse que o atacante agravou o exploit, reuniu as notas resultantes e moveu fundos para fora pelo ChainPort.
“Este caminho de código estava dentro do escopo de nossas auditorias externas e internas”, escreveu a equipe, reconhecendo que os revisores deixaram passar o bug.
Antes de retirar o suporte, os desenvolvedores disseram que commitaram um patch e incluíram um postmortem detalhado no pull request associado. O anúncio descreveu o desligamento e o arquivamento do repositório como as etapas finais.
Encerrar o suporte de desenvolvedores não estabelece, por si só, que todos os nós operados de forma independente pararam. A declaração anunciou especificamente a retirada de todo o suporte restante para a rede.
Gráficos do wIRON mostram um colapso no par de negociação na Base
Capturas de tela compartilhadas pelos traders AzFlin e Abu mostraram uma queda acentuada na capitalização de mercado exibida do wIRON, o token empacotado negociado na Base.
AzFlin descreveu um declínio de aproximadamente US$ 200 milhões para US$ 2.000. Sua captura de tela do par wIRON/USDC na Aerodrome exibia uma capitalização de mercado próxima de US$ 1.900 e apenas US$ 302 em liquidez, juntamente com um aviso de que o par tinha muito pouca liquidez.
Abu compartilhou um gráfico separado mostrando uma capitalização exibida de aproximadamente US$ 1.600 após o colapso.
Esses números descrevem a avaliação do par de negociação do token empacotado. Eles não estabelecem que o atacante roubou US$ 200 milhões, e o anúncio da Iron Fish não forneceu nenhuma estimativa de perda em dólares.
A conexão do projeto com a Base é anterior ao incidente. Em outubro de 2025, o crypto.news relatou anteriormente que a Base estava desenvolvendo transações privadas após adquirir a equipe de desenvolvimento da Iron Fish em março daquele ano.
O CEO da Coinbase, Brian Armstrong, descreveu a aquisição como trazer a equipe para a Base para trabalhar em infraestrutura de privacidade. O relatório descreveu o uso de provas de conhecimento zero pela Iron Fish para ocultar detalhes de transações e suas conexões com outras blockchains por meio do ChainPort.
Auditorias anteriores examinaram o protocolo central e o código de mineração
O histórico de segurança publicado da Iron Fish inclui uma auditoria do protocolo central pela Inversed Tech, finalizada em 1º de junho de 2023.
A revisão cobriu o design do protocolo, a implementação em Rust de seu mecanismo de privacidade e os circuitos de prova de conhecimento zero. A Iron Fish listou 37 descobertas, incluindo três problemas críticos e um aviso, e disse que os problemas identificados foram resolvidos e verificados novamente.
Um problema crítico descoberto antes do lançamento da mainnet envolvia a maleabilidade do ID de ativo, o que poderia ter quebrado o requisito de que as entradas e saídas de transações se equilibrem para cada ativo. Os desenvolvedores resolveram esse problema antes do lançamento da rede em 20 de abril de 2023.
Uma revisão separada do FishHash envolveu a Trail of Bits. Comissionada em janeiro de 2024, a avaliação de sete dias examinou a especificação do algoritmo de mineração e as implementações de CPU em Rust e C++.
Seu escopo declarado dizia respeito ao desempenho de mineração, aos requisitos de memória e à resistência a hardware especializado.
O papel documentado da ChainPort ia além da movimentação de ativos. Em um aviso de segurança de agosto de 2024, a Iron Fish Foundation descreveu a triagem de endereços da ponte, incluindo verificações contra as listas de sanções do Office of Foreign Assets Control dos Estados Unidos.
O mesmo aviso dizia que a ChainPort poderia congelar tokens afetados e investigar atividades suspeitas, com a capacidade de congelar ativos em endereços específicos ou queimar fundos identificados como maliciosos.
