Thông báo từ Iron Fish về việc chấm dứt hỗ trợ mạng lưới
Iron Fish đã thông báo về việc chấm dứt tất cả hỗ trợ cho mạng lưới sau khi phát hiện một lỗi lạm phát từ năm 2019, cho phép kẻ tấn công chi tiêu cùng một khoản tiền được bảo vệ nhiều lần và rút tiền qua cầu ChainPort.
Cuộc điều tra và phát hiện lỗi
Theo thông báo của Iron Fish, cuộc điều tra bắt đầu sau khi nhóm phát hiện hoạt động bất thường liên quan đến wIRON và ChainPort vài ngày trước đó. Làm việc với nhà điều hành cầu và xem xét các nhật ký của nó, các nhà phát triển đã truy tìm vấn đề đến chính blockchain của Iron Fish.
Tuyên bố không tiết lộ tổng số tiền được tạo ra thông qua lỗ hổng, giá trị rút qua cầu, hoặc kế hoạch bồi thường cho các chủ sở hữu bị ảnh hưởng.
Nhóm đã xác định lỗ hổng này xuất phát từ một cam kết mã vào đầu năm 2019, thực hiện một cây Merkle tiêu chuẩn, một cấu trúc được sử dụng để tổ chức và xác minh các bản ghi blockchain. Iron Fish đã chỉ ra một tương tác giữa việc thực hiện đó và cách tính toán nullifier của một ghi chú. Nullifier là một phần của cơ chế được sử dụng để ngăn chặn các khoản tiền được bảo vệ không bị chi tiêu lại sau một giao dịch. Do lỗi này, kẻ tấn công có thể chi tiêu cùng một ghi chú nhiều lần.
Hệ quả và phản ứng của Iron Fish
Iron Fish cho biết kẻ tấn công đã khai thác lỗ hổng, thu thập các ghi chú kết quả và chuyển tiền ra ngoài qua ChainPort. “Đoạn mã này đã nằm trong phạm vi của cả hai cuộc kiểm toán bên ngoài và nội bộ của chúng tôi,” nhóm viết, đồng thời thừa nhận rằng các nhà đánh giá đã bỏ lỡ lỗi này.
Trước khi ngừng hỗ trợ, các nhà phát triển cho biết họ đã cam kết một bản vá và bao gồm một báo cáo chi tiết trong yêu cầu kéo liên quan. Thông báo mô tả việc đóng cửa và lưu trữ kho như là các bước cuối cùng. Việc chấm dứt hỗ trợ của nhà phát triển không tự nó xác lập rằng mọi nút hoạt động độc lập đã dừng lại.
Ảnh hưởng đến thị trường
Các ảnh chụp màn hình được chia sẻ bởi các nhà giao dịch AzFlin và Abu cho thấy sự sụt giảm mạnh trong vốn hóa thị trường hiển thị của wIRON, token được bọc giao dịch trên Base. AzFlin mô tả sự giảm từ khoảng 200 triệu đô la xuống còn 2,000 đô la. Ảnh chụp màn hình của cặp wIRON/USDC trên Aerodrome hiển thị vốn hóa thị trường gần 1,900 đô la và chỉ 302 đô la trong thanh khoản, cùng với một cảnh báo rằng cặp này có rất ít thanh khoản.
Những con số đó mô tả giá trị giao dịch của token được bọc. Chúng không xác lập rằng kẻ tấn công đã đánh cắp 200 triệu đô la, và thông báo của Iron Fish không cung cấp ước tính thiệt hại bằng đô la.
Mối liên hệ với Base và các cuộc kiểm toán
Mối liên hệ của dự án với Base đã có trước sự cố. Vào tháng 10 năm 2025, crypto.news trước đó đã báo cáo rằng Base đang phát triển các giao dịch riêng tư sau khi mua lại đội ngũ phát triển Iron Fish vào tháng 3 năm đó. Giám đốc điều hành Coinbase, Brian Armstrong, đã mô tả việc mua lại như là đưa đội ngũ vào Base để làm việc trên cơ sở hạ tầng bảo mật.
Báo cáo mô tả việc Iron Fish sử dụng các bằng chứng không kiến thức để che giấu chi tiết giao dịch và các mối liên hệ của nó với các blockchain khác thông qua ChainPort. Lịch sử bảo mật đã công bố của Iron Fish bao gồm một cuộc kiểm toán giao thức cốt lõi bởi Inversed Tech, hoàn thành vào ngày 1 tháng 6 năm 2023.
Cuộc đánh giá đã bao gồm thiết kế giao thức, việc triển khai cơ chế bảo mật bằng Rust, và các mạch bằng chứng không kiến thức. Iron Fish đã liệt kê 37 phát hiện, bao gồm ba vấn đề nghiêm trọng và một cảnh báo, và cho biết các vấn đề đã được xác định đã được giải quyết và kiểm tra lại.
Một vấn đề nghiêm trọng được phát hiện trước khi ra mắt mainnet liên quan đến tính dễ biến đổi của ID tài sản, điều này có thể đã phá vỡ yêu cầu rằng các đầu vào và đầu ra giao dịch phải cân bằng cho mỗi tài sản. Các nhà phát triển đã giải quyết vấn đề đó trước khi mạng được ra mắt vào ngày 20 tháng 4 năm 2023.
Đánh giá FishHash và vai trò của ChainPort
Một cuộc đánh giá FishHash riêng biệt liên quan đến Trail of Bits. Được ủy quyền vào tháng 1 năm 2024, đánh giá kéo dài bảy ngày đã xem xét thông số kỹ thuật của thuật toán khai thác và các triển khai CPU bằng Rust và C++. Phạm vi đã nêu của nó liên quan đến hiệu suất khai thác, yêu cầu bộ nhớ và khả năng chống lại phần cứng chuyên dụng.
Vai trò đã được tài liệu hóa của ChainPort không chỉ dừng lại ở việc di chuyển tài sản. Trong một thông báo bảo mật vào tháng 8 năm 2024, Quỹ Iron Fish đã mô tả việc kiểm tra địa chỉ của cầu, bao gồm các kiểm tra chống lại danh sách trừng phạt của Văn phòng Kiểm soát Tài sản Nước ngoài Hoa Kỳ. Thông báo cũng cho biết ChainPort có thể đóng băng các token bị ảnh hưởng và điều tra hoạt động đáng ngờ, với khả năng đóng băng tài sản tại các địa chỉ cụ thể hoặc đốt tiền được xác định là độc hại.
