Iron Fish hat nach der Entdeckung eines Inflationsfehlers aus dem frühen Jahr 2019, der es einem Angreifer ermöglichte, dieselben abgeschirmten Gelder wiederholt auszugeben und über die ChainPort-Brücke abzuziehen, die Einstellung aller verbleibenden Netzwerkunterstützung angekündigt.
Zusammenfassung
- Iron Fish führte den Exploit auf seine Merkle-Tree-Implementierung und einen Fehler im Zusammenhang mit Note-Nullifiers zurück.
- Der Angreifer gab dieselben Notes wiederholt aus, bevor er die Gelder aggregierte und sie über ChainPort transferierte.
- Interne und externe Audits deckten den betroffenen Codepfad ab, konnten die Schwachstelle jedoch nicht identifizieren.
- Das Team erklärte, es habe einen Patch committet und einen Postmortem beigefügt, bevor es sein Repository archivierte.
Laut der Ankündigung von Iron Fish begann die Untersuchung, nachdem das Team einige Tage zuvor ungewöhnliche Aktivitäten im Zusammenhang mit wIRON und ChainPort bemerkt hatte. In Zusammenarbeit mit dem Brückenbetreiber und unter Prüfung dessen Protokolle führten die Entwickler das Problem auf die Iron-Fish-Blockchain selbst zurück.
Die Erklärung nannte weder den Gesamtbetrag, der durch den Exploit erzeugt wurde, noch den über die Brücke abgezogenen Wert oder einen Entschädigungsplan für betroffene Inhaber.
Iron Fish führt wiederholte Ausgaben auf einen Fehler aus dem Jahr 2019 zurück
Das Team führte die Schwachstelle auf einen Code-Commit aus dem frühen Jahr 2019 zurück, der einen Standard-Merkle-Tree implementierte, eine Struktur, die zur Organisation und Verifizierung von Blockchain-Datensätzen verwendet wird.
In seiner Erklärung identifizierte Iron Fish eine Wechselwirkung zwischen dieser Implementierung und der Art und Weise, wie der Nullifier einer Note berechnet wird. Ein Nullifier ist Teil des Mechanismus, der verhindert, dass abgeschirmte Gelder nach einer Transaktion erneut ausgegeben werden.
Aufgrund des Fehlers konnte der Angreifer dieselbe Note mehr als einmal ausgeben. Iron Fish erklärte, der Angreifer habe den Exploit verstärkt, die daraus resultierenden Notes gesammelt und Gelder über ChainPort abgezogen.
„Dieser Codepfad lag im Geltungsbereich sowohl unserer externen als auch unserer internen Audits“, schrieb das Team und räumte ein, dass die Prüfer den Fehler übersehen hatten.
Vor dem Rückzug der Unterstützung erklärten die Entwickler, sie hätten einen Patch committet und einen detaillierten Postmortem in den zugehörigen Pull Request aufgenommen. Die Ankündigung beschrieb die Abschaltung und Archivierung des Repositorys als abschließende Schritte.
Die Beendigung der Entwicklerunterstützung belegt für sich genommen nicht, dass jeder unabhängig betriebene Node eingestellt wurde. Die Erklärung kündigte ausdrücklich den Rückzug aller verbleibenden Unterstützung für das Netzwerk an.
wIRON-Charts zeigen einen Zusammenbruch im Base-Handelspaar
Von den Tradern AzFlin und Abu geteilte Screenshots zeigten einen steilen Rückgang der angezeigten Marktkapitalisierung von wIRON, dem auf Base gehandelten Wrapped-Token.
AzFlin beschrieb einen Rückgang von etwa 200 Millionen Dollar auf 2.000 Dollar. Sein Screenshot des wIRON/USDC-Paares auf Aerodrome zeigte eine Marktkapitalisierung von nahezu 1.900 Dollar und nur 302 Dollar Liquidität, zusammen mit einer Warnung, dass das Paar über sehr wenig Liquidität verfüge.
Abu teilte einen separaten Chart, der nach dem Zusammenbruch eine angezeigte Kapitalisierung von rund 1.600 Dollar zeigte.
Diese Zahlen beschreiben die Bewertung des Handelspaares des Wrapped-Tokens. Sie belegen nicht, dass der Angreifer 200 Millionen Dollar gestohlen hat, und die Ankündigung von Iron Fish lieferte keine Schätzung des Dollarverlusts.
Die Verbindung des Projekts zu Base reicht vor den Vorfall zurück. Im Oktober 2025 berichtete crypto.news zuvor, dass Base private Transaktionen entwickelte, nachdem es im März jenes Jahres das Iron-Fish-Entwicklungsteam übernommen hatte.
Coinbase-CEO Brian Armstrong beschrieb die Übernahme als Eingliederung des Teams in Base, um an Privatsphäre-Infrastruktur zu arbeiten. Der Bericht beschrieb die Nutzung von Zero-Knowledge-Beweisen durch Iron Fish zur Verschleierung von Transaktionsdetails und seine Verbindungen zu anderen Blockchains über ChainPort.
Frühere Audits untersuchten das Kernprotokoll und den Mining-Code
Die veröffentlichte Sicherheitshistorie von Iron Fish umfasst ein Kernprotokoll-Audit von Inversed Tech, das am 1. Juni 2023 abgeschlossen wurde.
Die Prüfung umfasste das Protokolldesign, die Rust-Implementierung seines Privatsphäre-Mechanismus und Zero-Knowledge-Beweis-Schaltkreise. Iron Fish listete 37 Befunde auf, darunter drei kritische Probleme und eine Warnung, und erklärte, die identifizierten Probleme seien behoben und erneut überprüft worden.
Ein kritisches Problem, das vor dem Mainnet-Start entdeckt wurde, betraf die Manipulierbarkeit von Asset-IDs, die die Anforderung hätte verletzen können, dass Transaktionseingaben und -ausgaben für jedes Asset ausgeglichen sein müssen. Die Entwickler behoben dieses Problem, bevor das Netzwerk am 20. April 2023 startete.
Eine separate FishHash-Überprüfung umfasste Trail of Bits. Die im Januar 2024 in Auftrag gegebene siebentägige Bewertung untersuchte die Spezifikation des Mining-Algorithmus und die CPU-Implementierungen in Rust und C++.
Der angegebene Umfang betraf die Mining-Leistung, den Speicherbedarf und die Widerstandsfähigkeit gegen spezialisierte Hardware.
Die dokumentierte Rolle von ChainPort ging über die bloße Übertragung von Assets hinaus. In einer Sicherheitsmitteilung vom August 2024 beschrieb die Iron Fish Foundation die Adressprüfung der Bridge, einschließlich der Überprüfung gegen Sanktionslisten des U.S. Office of Foreign Assets Control.
Dieselbe Mitteilung besagte, dass ChainPort betroffene Token einfrieren und verdächtige Aktivitäten untersuchen könnte, mit der Möglichkeit, Assets an bestimmten Adressen einzufrieren oder als bösartig identifizierte Gelder zu verbrennen.
