Iron Fishのインフレーションバグとネットワークサポートの終了
Iron Fishは、攻撃者が同じシールドされた資金を繰り返し使用し、ChainPortブリッジを通じて資金を引き出すことができるインフレーションバグを2019年初頭に発見した後、ネットワークサポートをすべて終了することを発表しました。
調査の経緯と発見された問題
Iron Fishの発表によると、調査は数日前にチームがwIRONとChainPortに関する異常な活動に気付いたことから始まりました。ブリッジオペレーターと協力し、そのログをレビューした結果、開発者は問題をIron Fishブロックチェーン自体に追跡しました。
「このコードパスは、私たちの外部および内部監査の範囲内にありました」とチームは書き、レビュアーがバグを見逃したことを認めました。
声明では、悪用によって生成された総額や、ブリッジを通じて引き出された価値、影響を受けた保有者への補償計画は開示されませんでした。チームは、この脆弱性が2019年初頭のコードコミットに起因すると特定しました。このコードには、標準のマークルツリーが実装されており、ブロックチェーンの記録を整理し、検証するために使用されます。
攻撃者の行動と市場への影響
Iron Fishは、攻撃者がこの悪用を複合化し、結果として得られたノートを集め、ChainPortを通じて資金を移動させたと述べました。トレーダーのAzFlinとAbuが共有したスクリーンショットは、Baseで取引されているwIRONの表示された時価総額が急落したことを示しました。AzFlinは、約2億ドルから2,000ドルへの減少を説明しました。
「彼のAerodromeでのwIRON/USDCペアのスクリーンショットは、時価総額が約1,900ドルで流動性が302ドルしかないことを示し、そのペアの流動性が非常に少ないという警告が表示されていました。」
これらの数字は、ラップトークンの取引ペアの評価を示していますが、攻撃者が2億ドルを盗んだことを示すものではなく、Iron Fishの発表にはドル損失の見積もりは提供されていませんでした。
Iron Fishのセキュリティ履歴と監査
Iron Fishの公開されたセキュリティ履歴には、2023年6月1日に完了したInversed Techによるコアプロトコルの監査が含まれています。このレビューでは、プロトコル設計、プライバシーメカニズムのRust実装、およびゼロ知識証明回路がカバーされました。
Iron Fishは、3つの重大な問題と1つの警告を含む37の発見をリストし、特定された問題は解決され、再確認されたと述べました。メインネットの立ち上げ前に発見された1つの重大な問題は、資産IDの可変性に関するもので、これにより各資産のトランザクション入力と出力がバランスを取るという要件が破られる可能性がありました。
ChainPortの役割と今後の展望
ChainPortの文書化された役割は、資産の移動を超えていました。2024年8月のセキュリティ通知で、Iron Fish Foundationは、米国財務省外国資産管理局の制裁リストに対するチェックを含むブリッジのアドレススクリーニングを説明しました。
「ChainPortが影響を受けたトークンを凍結し、疑わしい活動を調査する能力を持ち、特定のアドレスで資産を凍結したり、悪意のあると見なされた資金を焼却することができると述べられました。」
