Iron Fish met fin à son support après la découverte d'un bug de 2019 permettant le double-dépense

Annonce d'Iron Fish

Iron Fish a annoncé la cessation de tout support réseau après avoir découvert un bug d'inflation datant de début 2019. Ce bug permettait à un attaquant de dépenser plusieurs fois les mêmes fonds protégés et de les retirer via le pont ChainPort.

Enquête et Découverte

Selon l'annonce d'Iron Fish, l'enquête a été lancée après que l'équipe a remarqué une activité anormale impliquant wIRON et ChainPort quelques jours auparavant. En collaboration avec l'opérateur du pont et en examinant ses journaux, les développeurs ont retracé le problème à la blockchain Iron Fish elle-même.

"Ce chemin de code était dans le champ d'application de nos audits externes et internes", a écrit l'équipe, tout en reconnaissant que les examinateurs avaient manqué le bug.

Vulnérabilité Identifiée

L'équipe a identifié la vulnérabilité comme étant liée à un engagement de code précoce de 2019, qui mettait en œuvre un arbre de Merkle standard, une structure utilisée pour organiser et vérifier les enregistrements sur la blockchain. Iron Fish a souligné une interaction entre cette mise en œuvre et la manière dont le nullificateur d'une note est calculé. Un nullificateur fait partie du mécanisme utilisé pour empêcher que des fonds protégés ne soient dépensés à nouveau après une transaction.

En raison de cette faille, l'attaquant pouvait dépenser la même note plusieurs fois. Iron Fish a déclaré que l'attaquant avait amplifié l'exploitation, rassemblé les notes résultantes et déplacé des fonds via ChainPort.

Impact sur le Marché

Des captures d'écran partagées par les traders AzFlin et Abu ont montré une forte chute de la capitalisation boursière affichée de wIRON, le jeton enveloppé échangé sur Base. AzFlin a rapporté une baisse d'environ 200 millions de dollars à 2 000 dollars. Sa capture d'écran de la paire wIRON/USDC sur Aerodrome affichait une capitalisation boursière proche de 1 900 dollars et seulement 302 dollars de liquidité, accompagnée d'un avertissement indiquant que la paire avait très peu de liquidité.

Abu a partagé un graphique séparé montrant une capitalisation affichée d'environ 1 600 dollars après l'effondrement. Ces chiffres décrivent la valorisation de la paire de trading du jeton enveloppé, mais ne signifient pas que l'attaquant a volé 200 millions de dollars, et l'annonce d'Iron Fish n'a fourni aucune estimation de perte en dollars.

Historique de Sécurité et Audits

L'historique de sécurité publié d'Iron Fish comprend un audit du protocole central par Inversed Tech, finalisé le 1er juin 2023. L'examen a couvert la conception du protocole, l'implémentation en Rust de son mécanisme de confidentialité et les circuits de preuve à connaissance nulle. Iron Fish a listé 37 constatations, y compris trois problèmes critiques et un avertissement, et a déclaré que les problèmes identifiés avaient été résolus et vérifiés à nouveau.

Un problème critique découvert avant le lancement du mainnet concernait la malléabilité de l'ID d'actif, ce qui aurait pu compromettre l'exigence selon laquelle les entrées et sorties de transaction doivent s'équilibrer pour chaque actif. Les développeurs ont résolu ce problème avant le lancement du réseau le 20 avril 2023.

Rôle de ChainPort

Le rôle documenté de ChainPort s'étendait au-delà du simple déplacement d'actifs. Dans un avis de sécurité d'août 2024, la Fondation Iron Fish a décrit le filtrage d'adresses du pont, y compris des vérifications contre les listes de sanctions du Bureau américain de contrôle des avoirs étrangers. Le même avis a déclaré que ChainPort pouvait geler des jetons affectés et enquêter sur des activités suspectes, avec la capacité de geler des actifs à des adresses particulières ou de brûler des fonds identifiés comme malveillants.