A blockchain de privacidade Iron Fish anunciou: vai encerrar todo o suporte restante à rede. Não foi hackeada e depois consertada; aplicou um patch e fechou as portas. 🐟
1️⃣ Causa: há alguns dias, a ponte cross-chain wIRON + ChainPort apresentou uma anomalia. Em 28/10, a equipe oficial já tinha alertado: não comprem wIRON na Base nem usem a ponte; não é possível garantir a paridade de 1:1
2️⃣ Depois de analisar os logs junto com a ChainPort, a conclusão foi que a culpa não era da ponte, mas da própria blockchain Iron Fish. A origem estava num commit da árvore de Merkle feito no início de 2019
3️⃣ Mecanismo: um detalhe no cálculo do nullifier (o marcador que impede o gasto duplo) não foi tratado corretamente. O atacante podia gastar a mesma nota várias vezes e, depois, consolidar os valores e retirá-los pela ponte
4️⃣ Esse código estava dentro do escopo das auditorias interna e externa, mas ninguém o detectou
5️⃣ O patch e o post-mortem já foram enviados como PR; depois, o repositório será arquivado. O README do GitHub é bem direto: a árvore de notas corrigida é incompatível com o histórico existente da mainnet e da testnet; só poderá ser usada numa nova blockchain com um genesis totalmente novo
A equipe não divulgou o valor das perdas, e eu não vou inventar números.
Minha avaliação:
O mais preocupante do que o valor é o que a equipe disse no final: softwares que não podem ser atualizados imediatamente (ou seja, a maioria das criptomoedas) estão numa situação muito perigosa; a capacidade de encontrar e explorar vulnerabilidades está sendo «comercializada»; as barreiras de segurança dos modelos de ponta dos EUA dificultam que as equipes dos projetos os usem para corrigir vulnerabilidades, enquanto os modelos de código aberto sem essas barreiras estão se aproximando das capacidades dos modelos de ponta.
Em termos simples: os atacantes já estão usando IA para acelerar, enquanto os defensores ainda estão na fila para obter aprovação. Um trecho de código antigo, de 2019, passou por todas as auditorias e foi descoberto sete anos depois.
O que dá para fazer:
- Se ainda têm $IRON / wIRON, não usem mais a ponte e acompanhem de perto os comunicados da plataforma onde estão
- Se têm uma posição grande em blockchains antigas ou contratos antigos, não tratem o relatório de auditoria como um escudo; vejam se a equipe ainda tem capacidade e disposição para fazer uma atualização urgente
- Blockchain de privacidade + ponte cross-chain = duas caixas-pretas; avaliem bem o tamanho da posição
Fontes: conta oficial da Iron Fish no X, @ironfishcrypto, README do GitHub iron-fish/ironfish; reportagens da TokenPost e da TechFlow.
Isto não constitui aconselhamento de investimento.
1️⃣ Causa: há alguns dias, a ponte cross-chain wIRON + ChainPort apresentou uma anomalia. Em 28/10, a equipe oficial já tinha alertado: não comprem wIRON na Base nem usem a ponte; não é possível garantir a paridade de 1:1
2️⃣ Depois de analisar os logs junto com a ChainPort, a conclusão foi que a culpa não era da ponte, mas da própria blockchain Iron Fish. A origem estava num commit da árvore de Merkle feito no início de 2019
3️⃣ Mecanismo: um detalhe no cálculo do nullifier (o marcador que impede o gasto duplo) não foi tratado corretamente. O atacante podia gastar a mesma nota várias vezes e, depois, consolidar os valores e retirá-los pela ponte
4️⃣ Esse código estava dentro do escopo das auditorias interna e externa, mas ninguém o detectou
5️⃣ O patch e o post-mortem já foram enviados como PR; depois, o repositório será arquivado. O README do GitHub é bem direto: a árvore de notas corrigida é incompatível com o histórico existente da mainnet e da testnet; só poderá ser usada numa nova blockchain com um genesis totalmente novo
A equipe não divulgou o valor das perdas, e eu não vou inventar números.
Minha avaliação:
O mais preocupante do que o valor é o que a equipe disse no final: softwares que não podem ser atualizados imediatamente (ou seja, a maioria das criptomoedas) estão numa situação muito perigosa; a capacidade de encontrar e explorar vulnerabilidades está sendo «comercializada»; as barreiras de segurança dos modelos de ponta dos EUA dificultam que as equipes dos projetos os usem para corrigir vulnerabilidades, enquanto os modelos de código aberto sem essas barreiras estão se aproximando das capacidades dos modelos de ponta.
Em termos simples: os atacantes já estão usando IA para acelerar, enquanto os defensores ainda estão na fila para obter aprovação. Um trecho de código antigo, de 2019, passou por todas as auditorias e foi descoberto sete anos depois.
O que dá para fazer:
- Se ainda têm $IRON / wIRON, não usem mais a ponte e acompanhem de perto os comunicados da plataforma onde estão
- Se têm uma posição grande em blockchains antigas ou contratos antigos, não tratem o relatório de auditoria como um escudo; vejam se a equipe ainda tem capacidade e disposição para fazer uma atualização urgente
- Blockchain de privacidade + ponte cross-chain = duas caixas-pretas; avaliem bem o tamanho da posição
Fontes: conta oficial da Iron Fish no X, @ironfishcrypto, README do GitHub iron-fish/ironfish; reportagens da TokenPost e da TechFlow.
Isto não constitui aconselhamento de investimento.