Iron Fish finaliza el soporte tras descubrir un error de 2019 que permitía el doble gasto

Iron Fish Anuncia el Cese de Soporte

Iron Fish ha anunciado el cese de todo el soporte para su red tras descubrir un error de inflación que data de principios de 2019. Este error permitía a un atacante gastar repetidamente los mismos fondos protegidos y retirarlos a través del puente ChainPort.

"La investigación comenzó después de que el equipo notara actividad anormal relacionada con wIRON y ChainPort varios días antes."

Trabajando con el operador del puente y revisando sus registros, los desarrolladores rastrearon el problema hasta la propia blockchain de Iron Fish. La declaración no reveló la cantidad total creada a través de la explotación, el valor retirado a través del puente, ni un plan de compensación para los titulares afectados.

Identificación de la Vulnerabilidad

El equipo identificó la vulnerabilidad en un compromiso de código de principios de 2019 que implementaba un árbol de Merkle estándar, una estructura utilizada para organizar y verificar registros en la blockchain. Iron Fish destacó una interacción entre esa implementación y la forma en que se calcula el nulificador de una nota. Un nulificador es parte del mecanismo utilizado para evitar que los fondos protegidos se gasten nuevamente después de una transacción.

Debido al defecto, el atacante podía gastar la misma nota más de una vez. Iron Fish indicó que el atacante amplificó la explotación, reunió las notas resultantes y movió fondos a través de ChainPort.

"Este camino de código estaba dentro del alcance de nuestras auditorías externas e internas."

Antes de retirar el soporte, los desarrolladores mencionaron que habían comprometido un parche e incluido un informe detallado en la solicitud de extracción asociada. El anuncio describió el cierre y archivo del repositorio como los pasos finales.

Impacto en el Mercado

El retiro de soporte no implica que cada nodo operado de forma independiente haya dejado de funcionar. La declaración anunció específicamente el retiro de todo el soporte restante para la red. Capturas de pantalla compartidas por los comerciantes AzFlin y Abu mostraron una caída pronunciada en la capitalización de mercado de wIRON, el token envuelto que se comercializa en Base.

AzFlin describió una caída de aproximadamente $200 millones a $2,000. Su captura de pantalla del par wIRON/USDC en Aerodrome mostraba una capitalización de mercado cercana a $1,900 y solo $302 en liquidez, junto con una advertencia de que el par tenía muy poca liquidez. Abu compartió un gráfico separado que mostraba una capitalización de aproximadamente $1,600 después del colapso.

Estas cifras describen la valoración del par comercial del token envuelto, pero no establecen que el atacante robó $200 millones, y el anuncio de Iron Fish no proporcionó ninguna estimación de pérdida en dólares.

Conexiones y Auditorías

La conexión del proyecto con Base precede al incidente. En octubre de 2025, crypto.news informó que Base estaba desarrollando transacciones privadas después de adquirir al equipo de desarrollo de Iron Fish en marzo de ese año. El CEO de Coinbase, Brian Armstrong, describió la adquisición como una forma de integrar al equipo en Base para trabajar en infraestructura de privacidad.

La historia de seguridad publicada de Iron Fish incluye una auditoría del protocolo central realizada por Inversed Tech, finalizada el 1 de junio de 2023. La revisión cubrió el diseño del protocolo, la implementación en Rust de su mecanismo de privacidad y circuitos de prueba de conocimiento cero. Iron Fish enumeró 37 hallazgos, incluidos tres problemas críticos y una advertencia, y aseguró que los problemas identificados fueron resueltos y verificados nuevamente.

Un problema crítico descubierto antes del lanzamiento de mainnet involucró la maleabilidad del ID de activos, lo que podría haber roto el requisito de que las entradas y salidas de transacciones equilibraran para cada activo. Los desarrolladores abordaron ese problema antes del lanzamiento de la red el 20 de abril de 2023.

Una revisión separada de FishHash involucró a Trail of Bits. Encargada en enero de 2024, la evaluación de siete días examinó la especificación del algoritmo de minería y las implementaciones de CPU en Rust y C++. Su alcance declarado concernía al rendimiento de minería, requisitos de memoria y resistencia a hardware especializado.

Rol de ChainPort

El papel documentado de ChainPort se extendió más allá del movimiento de activos. En un aviso de seguridad de agosto de 2024, la Fundación Iron Fish describió el filtrado de direcciones del puente, incluidos los controles contra las listas de sanciones de la Oficina de Control de Activos Extranjeros de EE. UU. El mismo aviso indicó que ChainPort podría congelar tokens afectados e investigar actividades sospechosas, con la capacidad de congelar activos en direcciones particulares o quemar fondos identificados como maliciosos.