Iron Fish stellt Unterstützung ein: Fehler aus 2019 ermöglicht doppelte Ausgaben

Iron Fish kündigt Ende der Netzwerkunterstützung an

Iron Fish hat das Ende aller verbleibenden Netzwerkunterstützung angekündigt, nachdem ein Inflationsfehler entdeckt wurde, der bis Anfang 2019 zurückreicht. Dieser Fehler ermöglichte es einem Angreifer, dieselben geschützten Mittel wiederholt auszugeben und über die ChainPort-Brücke abzuziehen. Laut der Ankündigung von Iron Fish begann die Untersuchung, nachdem das Team mehrere Tage zuvor anormale Aktivitäten im Zusammenhang mit wIRON und ChainPort bemerkte.

Identifizierung der Schwachstelle

In Zusammenarbeit mit dem Brückenbetreiber und durch Überprüfung der Protokolle konnten die Entwickler das Problem auf die Iron Fish-Blockchain selbst zurückverfolgen. Die Erklärung gab nicht die Gesamtmenge an, die durch den Exploit erzeugt wurde, den über die Brücke abgehobenen Wert oder einen Entschädigungsplan für betroffene Inhaber bekannt.

Das Team identifizierte die Schwachstelle in einem Code-Commit aus dem frühen Jahr 2019, der einen Standard-Merkle-Baum implementierte – eine Struktur, die zur Organisation und Überprüfung von Blockchain-Datensätzen verwendet wird. In seiner Erklärung wies Iron Fish auf eine Interaktion zwischen dieser Implementierung und der Berechnung des Nullifiers eines Notizblatts hin. Ein Nullifier ist Teil des Mechanismus, der verhindert, dass geschützte Mittel nach einer Transaktion erneut ausgegeben werden. Aufgrund des Fehlers konnte der Angreifer dieselbe Notiz mehr als einmal ausgeben.

„Dieser Codepfad war sowohl im Rahmen unserer externen als auch internen Audits“, schrieb das Team und räumte ein, dass die Prüfer den Fehler übersehen hatten.

Bevor die Unterstützung eingestellt wurde, sagten die Entwickler, sie hätten einen Patch erstellt und eine detaillierte Nachbesprechung im zugehörigen Pull-Request beigefügt. Die Ankündigung beschrieb die Schließung und Archivierung des Repositories als die letzten Schritte. Das Ende der Entwicklerunterstützung bedeutet jedoch nicht, dass jeder unabhängig betriebene Knoten gestoppt hat. Die Erklärung kündigte speziell den Rückzug aller verbleibenden Unterstützung für das Netzwerk an.

Marktkapitalisierung und Handelsaktivitäten

Screenshots, die von den Händlern AzFlin und Abu geteilt wurden, zeigten einen dramatischen Rückgang der angezeigten Marktkapitalisierung von wIRON, dem auf Base gehandelten Wrapped-Token. AzFlin berichtete von einem Rückgang von etwa 200 Millionen Dollar auf 2.000 Dollar. Sein Screenshot des wIRON/USDC-Paares auf Aerodrome zeigte eine Marktkapitalisierung von fast 1.900 Dollar und nur 302 Dollar an Liquidität, zusammen mit einer Warnung, dass das Paar sehr wenig Liquidität hatte. Abu teilte ein separates Diagramm, das eine angezeigte Kapitalisierung von etwa 1.600 Dollar nach dem Zusammenbruch zeigte. Diese Zahlen beschreiben die Bewertung des Handels-Paares des Wrapped-Tokens und belegen nicht, dass der Angreifer 200 Millionen Dollar gestohlen hat. Die Ankündigung von Iron Fish lieferte keine Schätzung des Dollarverlusts.

Verbindung zu Base und Sicherheitsgeschichte

Die Verbindung des Projekts zu Base reicht bis vor dem Vorfall zurück. Im Oktober 2025 berichtete crypto.news, dass Base private Transaktionen entwickelte, nachdem das Iron Fish-Entwicklungsteam im März desselben Jahres übernommen wurde. Coinbase-CEO Brian Armstrong beschrieb die Übernahme als eine Möglichkeit, das Team in Base zu integrieren, um an der Datenschutzinfrastruktur zu arbeiten. Der Bericht erwähnte die Verwendung von Zero-Knowledge-Proofs durch Iron Fish, um Transaktionsdetails zu verbergen, sowie die Verbindungen zu anderen Blockchains über ChainPort.

Die veröffentlichte Sicherheitsgeschichte von Iron Fish umfasst ein Audit des Kernprotokolls durch Inversed Tech, das am 1. Juni 2023 abgeschlossen wurde. Die Überprüfung umfasste das Protokolldesign, die Rust-Implementierung seines Datenschutzmechanismus und Zero-Knowledge-Proof-Schaltungen. Iron Fish listete 37 Ergebnisse auf, darunter drei kritische Probleme und eine Warnung, und erklärte, dass die identifizierten Probleme behoben und erneut überprüft wurden. Ein kritisches Problem, das vor dem Start des Mainnets entdeckt wurde, betraf die Malleabilität der Asset-ID, die die Anforderung hätte brechen können, dass Transaktionseingaben und -ausgaben für jedes Asset ausgeglichen sind. Die Entwickler haben dieses Problem behoben, bevor das Netzwerk am 20. April 2023 gestartet wurde.

Eine separate FishHash-Überprüfung, die Trail of Bits betraf, wurde im Januar 2024 beauftragt. Diese sieben Tage dauernde Bewertung untersuchte die Spezifikation des Mining-Algorithmus sowie die CPU-Implementierungen in Rust und C++. Der angegebene Umfang umfasste die Mining-Leistung, die Speicheranforderungen und die Widerstandsfähigkeit gegen spezialisierte Hardware. Die dokumentierte Rolle von ChainPort ging über den Transfer von Vermögenswerten hinaus. In einer Sicherheitsmitteilung vom August 2024 beschrieb die Iron Fish Foundation die Adressüberprüfung der Brücke, einschließlich Überprüfungen gegen die Sanktionslisten des U.S. Office of Foreign Assets Control. Dieselbe Mitteilung besagte, dass ChainPort betroffene Token einfrieren und verdächtige Aktivitäten untersuchen könnte, mit der Fähigkeit, Vermögenswerte an bestimmten Adressen einzufrieren oder als bösartig identifizierte Mittel zu verbrennen.