Iron Fish прекращает поддержку сети из-за уязвимости, позволяющей двойные траты

Объявление Iron Fish о прекращении поддержки

Iron Fish объявил о прекращении всей оставшейся поддержки своей сети после обнаружения инфляционной уязвимости, относящейся к началу 2019 года. Эта ошибка позволила злоумышленнику многократно тратить одни и те же защищенные средства и выводить их через мост ChainPort.

Расследование и обнаружение уязвимости

Расследование началось, когда команда заметила аномальную активность, связанную с wIRON и ChainPort, всего несколько дней назад. Работая с оператором моста и анализируя его журналы, разработчики проследили проблему до самой блокчейн-сети Iron Fish.

"Этот путь кода находился в рамках как наших внешних, так и внутренних аудитов," — признала команда, отметив, что рецензенты пропустили ошибку.

Проблема с кодом и последствия

Команда обнаружила уязвимость в коммите кода начала 2019 года, который реализовывал стандартное дерево Меркла — структуру, используемую для организации и проверки записей блокчейна. Iron Fish указал на взаимодействие между этой реализацией и методом расчета нулевателя заметки. Нулеватель — это часть механизма, предназначенного для предотвращения повторного расходования защищенных средств после транзакции. Из-за недостатка в коде злоумышленник мог тратить одну и ту же заметку более одного раза.

Реакция команды и дальнейшие шаги

Прежде чем прекратить поддержку, разработчики выпустили патч и включили подробный постмортем в связанный запрос на изменение. В объявлении описаны закрытие и архивирование репозитория как последние шаги. Прекращение поддержки разработчиков не означает, что каждый независимо работающий узел остановился. Заявление конкретно объявило о прекращении всей оставшейся поддержки для сети.

Рынок и последствия для wIRON

Скриншоты, предоставленные трейдерами AzFlin и Abu, показали резкое падение отображаемой рыночной капитализации wIRON, обернутого токена, торгующегося на платформе Base. AzFlin описал снижение с примерно 200 миллионов долларов до 2,000 долларов. Его скриншот пары wIRON/USDC на Aerodrome показывал рыночную капитализацию около 1,900 долларов и всего 302 доллара ликвидности, с предупреждением о том, что у пары очень низкая ликвидность.

Связь с Base и история безопасности

Связь проекта с Base предшествует инциденту. В октябре 2025 года crypto.news сообщал, что Base разрабатывал частные транзакции после приобретения команды разработчиков Iron Fish в марте того года. Генеральный директор Coinbase Брайан Армстронг описал приобретение как привлечение команды в Base для работы над инфраструктурой конфиденциальности.

Опубликованная история безопасности Iron Fish включает аудит основного протокола от Inversed Tech, завершенный 1 июня 2023 года. Обзор охватывал проектирование протокола, реализацию механизма конфиденциальности на Rust и схемы нулевых доказательств. Iron Fish перечислил 37 находок, включая три критические проблемы и одно предупреждение, и сообщил, что выявленные проблемы были решены и проверены повторно.

Заключение

Документированная роль ChainPort выходила за рамки перемещения активов. В августе 2024 года Iron Fish Foundation описала проверку адресов моста, включая проверки против списков санкций Управления по контролю за иностранными активами США. То же уведомление сообщало, что ChainPort может замораживать затронутые токены и расследовать подозрительную активность, с возможностью замораживания активов на определенных адресах или сжигания средств, идентифицированных как злонамеренные.