Iron Fish suspende el apoyo a los desarrolladores tras un error de inflación que permitió gastar dos veces a través de ChainPort

ChainGPT AI News · 2026-11-01T09:57:57.000Z

Iron Fish ha retirado todo el apoyo restante a los desarrolladores tras descubrir un antiguo error de inflación que permitía a un atacante gastar repetidamente dos veces fondos protegidos y retirar el dinero a través del puente ChainPort. Qué ocurrió - La investigación del equipo comenzó después de que detectara actividad inusual relacionada con el token envuelto wIRON y el puente ChainPort. Los registros compartidos con ChainPort llevaron a los desarrolladores de vuelta al propio código de la cadena de bloques de Iron Fish. - Iron Fish rastreó el problema hasta un cambio de código de principios de 2019 que implementaba un árbol de Merkle estándar. Una sutil interacción entre esa implementación y la forma en que se calcula el nullifier de una nota —el mecanismo utilizado para impedir que se vuelvan a gastar notas protegidas— permitía que un atacante gastara la misma nota varias veces. Según se informó, el atacante agrupó las notas duplicadas y transfirió los fondos a través de ChainPort. Alcance, divulgación y corrección - El proyecto no reveló cuánta moneda nueva se creó mediante el exploit, cuánto valor se retiró a través del puente ni si habrá compensación para los titulares afectados. - Los desarrolladores dijeron que la ruta de código vulnerable estaba dentro del alcance de auditorías tanto externas como internas, pero que los revisores no detectaron el error. El equipo implementó una corrección y publicó un análisis detallado del incidente en la solicitud de cambios asociada; luego cerró y archivó el repositorio como parte del fin del soporte. - El anuncio de Iron Fish aclaró que el fin del apoyo a los desarrolladores no detiene automáticamente los nodos operados de forma independiente; lo que hace es retirar específicamente el apoyo restante de los desarrolladores a la red. Reacción del mercado - Los operadores AzFlin y Abu publicaron capturas de pantalla que mostraban cómo la capitalización de mercado indicada de wIRON en Base y Aerodrome se desplomaba: de una cifra reportada de unos 200 millones de dólares a unos pocos miles en una de las capturas. La liquidez del par wIRON/USDC aparecía extremadamente baja. - Esas capturas reflejan las valoraciones del token envuelto en los pares de negociación y no prueban que se robara una cantidad específica en dólares. Iron Fish no ha proporcionado una estimación de las pérdidas. Contexto e historial de seguridad - El equipo de Iron Fish se integró en Base en marzo de 2025; Coinbase dijo que la adquisición respaldaría el trabajo en transacciones privadas y en infraestructura de privacidad mediante pruebas de conocimiento cero. El proyecto había utilizado ChainPort para conectarse con otras cadenas. - El protocolo ya había pasado por revisiones de seguridad. Inversed Tech auditó el protocolo central (auditoría finalizada el 1 de junio de 2023) y señaló 37 hallazgos, incluidos tres problemas críticos y una advertencia; Iron Fish dijo que se habían corregido y vuelto a revisar. Antes del lanzamiento de la red, el 20 de abril de 2023, se corrigió un error crítico relacionado con la maleabilidad del ID de los activos, detectado antes de la red principal. - Trail of Bits realizó en enero de 2024 una revisión de siete días del algoritmo de minería FishHash y de sus implementaciones en Rust y C++, centrada en el rendimiento de la minería y la resistencia al hardware especializado. Función de ChainPort - La Iron Fish Foundation había descrito anteriormente a ChainPort como algo más que un simple puente: un aviso de seguridad de agosto de 2024 indicaba que ChainPort realizaba verificaciones de direcciones (incluidas comprobaciones con las listas de la OFAC), podía congelar tokens vinculados a actividad sospechosa y tenía la capacidad de congelar o quemar fondos que determinara que eran maliciosos. No se detalló hasta qué punto se utilizaron esos mecanismos en este incidente. Qué viene ahora - La comunidad se queda sin apoyo de los desarrolladores y sin un recuento claro de las pérdidas financieras. La corrección y el análisis del incidente publicados por Iron Fish ofrecen detalles técnicos, pero los titulares y las contrapartes aún esperan claridad sobre el impacto económico y sobre cualquier plan de corrección o recuperación. Lee más noticias generadas por IA en: https://app.chaingpt.org/news

Iron Fish has withdrawn all remaining developer support after uncovering a long‑standing inflation bug that allowed an attacker to repeatedly double‑spend shielded funds and cash out through the ChainPort bridge. What happened - The team’s probe began after it noticed unusual activity involving the wrapped token wIRON and the ChainPort bridge. Logs shared with ChainPort led developers back to Iron Fish’s own blockchain code. - Iron Fish traced the issue to a code commit from early 2019 that implemented a standard Merkle tree. A subtle interaction between that implementation and the way a note’s nullifier is computed—the mechanism used to prevent re‑spending of shielded notes—meant an attacker could spend the same note multiple times. The attacker reportedly aggregated the duplicated notes and moved funds out via ChainPort. Scope, disclosure and remediation - The project did not disclose how much new currency was created by the exploit, how much value was withdrawn through the bridge, or whether there will be compensation for affected holders. - Developers said the vulnerable code path had been within the scope of both external and internal audits, but reviewers missed the bug. The team committed a patch and published a detailed post‑mortem in the associated pull request, then shut down and archived the repository as part of ending support. - Iron Fish’s announcement clarified that ending developer support does not automatically stop independently operated nodes from running; it specifically withdraws remaining developer support for the network. Market reaction - Traders AzFlin and Abu posted screenshots showing the displayed market capitalization of wIRON on Base and Aerodrome collapsing—from a reported figure of roughly $200 million down to a few thousand dollars in one screenshot. Liquidity on the wIRON/USDC pair was shown as extremely low. - Those screenshots reflect the wrapped token’s trading‑pair valuations and do not prove a particular dollar amount was stolen. Iron Fish has not provided a loss estimate. Context and security history - Iron Fish’s team was integrated into Base in March 2025, with Coinbase saying the acquisition would support private‑transaction work and privacy infrastructure using zero‑knowledge proofs. The project had used ChainPort to connect with other chains. - The protocol has undergone prior security reviews. Inversed Tech audited the core protocol (finalized June 1, 2023), flagging 37 findings including three critical issues and one warning; Iron Fish said those were addressed and rechecked. A pre‑mainnet critical bug involving asset‑ID malleability was fixed before the network launched on April 20, 2023. - Trail of Bits performed a seven‑day review of the FishHash mining algorithm and its Rust and C++ implementations in January 2024, focusing on mining performance and resistance to specialized hardware. Role of ChainPort - ChainPort had previously been listed by the Iron Fish Foundation as more than a simple bridge: an August 2024 security notice said ChainPort conducted address screening (including checks against OFAC lists), could freeze tokens linked to suspicious activity, and had the ability to freeze or burn funds it determined to be malicious. The extent to which those mechanisms were used in this incident was not detailed. What’s next - The community is left without developer support and without a clear accounting of financial losses. Iron Fish’s published patch and post‑mortem provide technical details, but holders and counterparties are still waiting for clarity on the economic impact and any remediation or recovery plans. Read more AI-generated news on: https://app.chaingpt.org/news