Iron Fish interrompe il supporto dopo la scoperta di un bug del 2019 che consente il double-spending

Annuncio di Iron Fish

Iron Fish ha annunciato la cessazione di tutto il supporto per la rete dopo aver scoperto un bug di inflazione risalente all'inizio del 2019. Questo bug permetteva a un attaccante di spendere ripetutamente gli stessi fondi protetti e di prelevare tramite il ponte ChainPort.

Dettagli dell'Indagine

Secondo l'annuncio di Iron Fish, l'indagine è iniziata dopo che il team ha notato un'attività anomala riguardante wIRON e ChainPort alcuni giorni prima. Collaborando con l'operatore del ponte e rivedendo i log, gli sviluppatori hanno rintracciato il problema alla blockchain di Iron Fish stessa.

"Questo percorso di codice era all'interno dell'ambito delle nostre audit esterne e interne," ha scritto il team, riconoscendo che i revisori avevano trascurato il bug.

Identificazione della Vulnerabilità

Il team ha identificato la vulnerabilità in un commit di codice del 2019 che implementava un albero di Merkle standard, una struttura utilizzata per organizzare e verificare i registri della blockchain. Iron Fish ha evidenziato un'interazione tra quell'implementazione e il modo in cui viene calcolato il nullifier di una nota, che è parte del meccanismo utilizzato per prevenire che i fondi protetti vengano spesi nuovamente dopo una transazione.

A causa del difetto, l'attaccante poteva spendere la stessa nota più di una volta, amplificando lo sfruttamento e trasferendo fondi attraverso ChainPort.

Impatto sul Mercato

Screenshot condivisi dai trader AzFlin e Abu hanno mostrato un forte calo della capitalizzazione di mercato di wIRON, il token avvolto scambiato su Base. AzFlin ha descritto un calo da circa 200 milioni di dollari a 2.000 dollari. Il suo screenshot della coppia wIRON/USDC su Aerodrome mostrava una capitalizzazione di mercato vicina a 1.900 dollari e solo 302 dollari in liquidità.

Abu ha condiviso un grafico separato che mostrava una capitalizzazione visualizzata di circa 1.600 dollari dopo il crollo. Questi dati descrivono la valutazione della coppia di trading del token avvolto, ma non stabiliscono che l'attaccante abbia rubato 200 milioni di dollari.

Collegamenti e Audit

Il collegamento del progetto a Base precede l'incidente. Nell'ottobre 2025, crypto.news ha riportato che Base stava sviluppando transazioni private dopo aver acquisito il team di sviluppo di Iron Fish nel marzo di quell'anno. Il CEO di Coinbase, Brian Armstrong, ha descritto l'acquisizione come un modo per portare il team in Base per lavorare sull'infrastruttura della privacy.

La storia di sicurezza pubblicata di Iron Fish include un audit del protocollo core da parte di Inversed Tech, finalizzato il 1° giugno 2023. La revisione ha coperto la progettazione del protocollo, l'implementazione in Rust del suo meccanismo di privacy e i circuiti di prova a conoscenza zero.

Conclusione

Iron Fish ha elencato 37 risultati, tra cui tre problemi critici e un avviso, e ha dichiarato che i problemi identificati erano stati risolti e controllati nuovamente. La cessazione del supporto da parte degli sviluppatori non implica che ogni nodo operato indipendentemente abbia smesso di funzionare, ma rappresenta un passo significativo nella gestione della sicurezza della rete.