Iron Fishは、攻撃者がシールドされた資金を繰り返し二重支払いし、ChainPortブリッジ経由で換金できる長年放置されていたインフレーションバグを発見した後、残るすべての開発者サポートを終了しました。何が起きたのか - チームが調査を開始したのは、ラップドトークンwIRONとChainPortブリッジに関わる異常な動きを確認した後でした。ChainPortと共有したログを手がかりに、開発者はIron Fish自身のブロックチェーンコードにたどり着きました。 - Iron Fishは、標準的なマークルツリーを実装した2019年初頭のコードコミットに問題の原因を突き止めました。この実装と、ノートのヌリファイア（シールドされたノートの再支出を防ぐ仕組み）の計算方法との微妙な相互作用により、攻撃者が同じノートを複数回使用できる状態になっていました。攻撃者は重複したノートをまとめ、ChainPort経由で資金を移動させたと報じられています。影響範囲、開示、修正 - プロジェクトは、このエクスプロイトによって新たに発行された通貨の量、ブリッジを通じて引き出された価値、または影響を受けた保有者への補償の有無を明らかにしていません。 - 開発者によると、脆弱なコード経路は外部監査と内部監査の両方の対象範囲に含まれていましたが、レビュー担当者はバグを見逃しました。チームはパッチをコミットし、関連するプルリクエストで詳細な事後分析を公開した後、サポート終了の一環としてリポジトリを停止し、アーカイブしました。 - Iron Fishの発表では、開発者サポートの終了によって独立運営のノードが自動的に停止するわけではなく、ネットワークに対する残りの開発者サポートを終了するものだと説明しています。市場の反応 - トレーダーのAzFlinとAbuは、BaseおよびAerodrome上のwIRONの表示時価総額が、約2億ドルとされていた水準から、あるスクリーンショットでは数千ドルにまで急落したことを示す画像を投稿しました。wIRON/USDCペアの流動性も極めて低い状態として表示されていました。 - これらのスクリーンショットが示すのはラップドトークンの取引ペアに基づく評価額であり、特定の金額が盗まれたことを証明するものではありません。Iron Fishは損失額の推定を公表していません。背景とセキュリティの履歴 - Iron Fishのチームは2025年3月にBaseに統合されました。Coinbaseは、この買収によりゼロ知識証明を用いたプライベート取引の取り組みとプライバシー基盤を支援すると説明していました。同プロジェクトは、他のチェーンとの接続にChainPortを利用していました。 - このプロトコルは過去にもセキュリティレビューを受けています。Inversed Techはコアプロトコルを監査し（2023年6月1日完了）、重大な問題3件と警告1件を含む37件の指摘事項を挙げました。Iron Fishは、これらに対処し、再確認も行ったと述べています。資産IDの可変性に関するメインネット公開前の重大なバグは、2023年4月20日のネットワーク公開前に修正されました。 - Trail of Bitsは2024年1月、FishHashマイニングアルゴリズムとそのRustおよびC++実装について7日間のレビューを実施し、マイニング性能と専用ハードウェアへの耐性に重点を置いて調査しました。ChainPortの役割 - Iron Fish Foundationは以前、ChainPortを単なるブリッジ以上の存在として紹介していました。2024年8月のセキュリティ通知によると、ChainPortはアドレスのスクリーニング（OFACリストとの照合を含む）を実施し、不審な活動に関連するトークンを凍結できるほか、不正なものと判断した資金を凍結または焼却する機能も備えていました。このインシデントでこれらの仕組みがどの程度使われたのか、詳細は明らかにされていません。今後の見通し - コミュニティは開発者サポートを失い、金銭的損失の明確な説明も得られていません。Iron Fishが公開したパッチと事後分析には技術的な詳細が記載されていますが、保有者や取引相手は経済的影響や、修復・回収計画の有無について、依然として明確な説明を待っています。AI生成ニュースをさらに読む：https://app.chaingpt.org/news