A Iron Fish retirou todo o apoio de desenvolvimento restante após descobrir um bug de inflação de longa data que permitia a um atacante gastar repetidamente os mesmos fundos protegidos e sacar os valores através da ponte ChainPort. O que aconteceu - A investigação da equipa começou depois de detetar atividade invulgar envolvendo o token encapsulado wIRON e a ponte ChainPort. Os registos partilhados com a ChainPort levaram os programadores de volta ao próprio código da blockchain da Iron Fish. - A Iron Fish atribuiu o problema a uma alteração de código do início de 2019 que implementava uma árvore de Merkle padrão. Uma interação subtil entre essa implementação e a forma como é calculado o nullifier de uma nota — o mecanismo utilizado para impedir que as notas protegidas sejam gastas novamente — permitia a um atacante gastar a mesma nota várias vezes. Segundo relatos, o atacante agregou as notas duplicadas e transferiu os fundos para fora através da ChainPort. Âmbito, divulgação e correção - O projeto não divulgou a quantidade de nova moeda criada pelo exploit, o valor levantado através da ponte nem se haverá compensação para os titulares afetados. - Os programadores disseram que o caminho de código vulnerável estava abrangido por auditorias externas e internas, mas os revisores não detetaram o bug. A equipa preparou uma correção e publicou uma análise detalhada do incidente no pull request associado; depois, encerrou e arquivou o repositório como parte do fim do apoio. - O anúncio da Iron Fish esclareceu que o fim do apoio de desenvolvimento não impede automaticamente que os nós operados de forma independente continuem a funcionar; retira especificamente o apoio de desenvolvimento restante à rede. Reação do mercado - Os traders AzFlin e Abu publicaram capturas de ecrã que mostram a capitalização de mercado apresentada para o wIRON na Base e na Aerodrome a cair — de um valor indicado de cerca de 200 milhões de dólares para alguns milhares de dólares numa das capturas de ecrã. A liquidez do par wIRON/USDC era extremamente baixa. - Essas capturas de ecrã refletem as avaliações dos pares de negociação do token encapsulado e não provam que tenha sido roubado um determinado montante em dólares. A Iron Fish não apresentou uma estimativa das perdas. Contexto e histórico de segurança - A equipa da Iron Fish foi integrada na Base em março de 2025, tendo a Coinbase afirmado que a aquisição apoiaria o trabalho em transações privadas e em infraestrutura de privacidade com recurso a provas de conhecimento zero. O projeto utilizava a ChainPort para se ligar a outras cadeias. - O protocolo já passou por análises de segurança. A Inversed Tech auditou o protocolo principal (auditoria concluída em 1 de junho de 2023), assinalando 37 problemas, incluindo três críticos e um aviso; a Iron Fish afirmou que estes foram corrigidos e verificados novamente. Um bug crítico de antes da mainnet, relacionado com a maleabilidade do ID do ativo, foi corrigido antes do lançamento da rede, em 20 de abril de 2023. - A Trail of Bits realizou, em janeiro de 2024, uma análise de sete dias do algoritmo de mineração FishHash e das suas implementações em Rust e C++, com foco no desempenho da mineração e na resistência a hardware especializado. Papel da ChainPort - A Iron Fish Foundation já tinha descrito a ChainPort como mais do que uma simples ponte: um aviso de segurança de agosto de 2024 dizia que a ChainPort fazia a verificação de endereços (incluindo consultas às listas da OFAC), podia congelar tokens associados a atividades suspeitas e tinha a capacidade de congelar ou queimar fundos que considerasse maliciosos. Não foram detalhados os mecanismos utilizados neste incidente nem em que medida foram usados. O que se segue - A comunidade ficou sem apoio de desenvolvimento e sem uma contabilização clara das perdas financeiras. A correção publicada pela Iron Fish e a análise do incidente fornecem detalhes técnicos, mas os titulares e as contrapartes continuam à espera de esclarecimentos sobre o impacto económico e sobre quaisquer planos de reparação ou recuperação. Leia mais notícias geradas por IA em: https://app.chaingpt.org/news