Iron Fish ha anunciado el fin de todo el soporte de red restante tras descubrir un error de inflación que se remonta a principios de 2019 y que permitió a un atacante gastar repetidamente los mismos fondos blindados y salir a través del puente ChainPort.
Resumen
- Iron Fish rastreó el exploit hasta su implementación del árbol de Merkle y un fallo relacionado con los nullifiers de las notas.
- El atacante gastó repetidamente las mismas notas antes de agregar los fondos y moverlos a través de ChainPort.
- Las auditorías internas y externas cubrieron la ruta de código afectada pero no lograron identificar la vulnerabilidad.
- El equipo dijo que confirmó un parche e incluyó un postmortem antes de archivar su repositorio.
Según el anuncio de Iron Fish, la investigación comenzó después de que el equipo notara actividad anómala relacionada con wIRON y ChainPort varios días antes. Trabajando con el operador del puente y revisando sus registros, los desarrolladores rastrearon el problema hasta la propia blockchain de Iron Fish.
La declaración no reveló el monto total creado mediante el exploit, el valor retirado a través del puente ni un plan de compensación para los tenedores afectados.
Iron Fish rastrea el gasto repetido hasta un fallo de 2019
El equipo rastreó la vulnerabilidad hasta un commit de código de principios de 2019 que implementaba un árbol de Merkle estándar, una estructura utilizada para organizar y verificar registros de blockchain.
En su explicación, Iron Fish identificó una interacción entre esa implementación y la forma en que se calcula el nullifier de una nota. Un nullifier es parte del mecanismo utilizado para evitar que los fondos blindados se gasten de nuevo después de una transacción.
Debido al fallo, el atacante pudo gastar la misma nota más de una vez. Iron Fish dijo que el atacante agravó el exploit, reunió las notas resultantes y movió los fondos fuera a través de ChainPort.
“Esta ruta de código estaba dentro del alcance de nuestras auditorías tanto externas como internas”, escribió el equipo, al tiempo que reconocía que los revisores habían pasado por alto el error.
Antes de retirar el soporte, los desarrolladores dijeron que confirmaron un parche e incluyeron un postmortem detallado en la solicitud de extracción asociada. El anuncio describió el cierre y archivado del repositorio como los pasos finales.
Poner fin al soporte de los desarrolladores no establece, por sí mismo, que todos los nodos operados de forma independiente hayan dejado de funcionar. La declaración anunció específicamente la retirada de todo el soporte restante para la red.
Los gráficos de wIRON muestran un colapso en el par de trading de Base
Las capturas de pantalla compartidas por los traders AzFlin y Abu mostraron una caída pronunciada en la capitalización de mercado mostrada de wIRON, el token envuelto que cotiza en Base.
AzFlin describió un descenso de aproximadamente 200 millones de dólares a 2.000 dólares. Su captura de pantalla del par wIRON/USDC en Aerodrome mostraba una capitalización de mercado cercana a los 1.900 dólares y solo 302 dólares en liquidez, junto con una advertencia de que el par tenía muy poca liquidez.
Abu compartió un gráfico separado que mostraba una capitalización mostrada de aproximadamente 1.600 dólares tras el colapso.
Esas cifras describen la valoración del par de trading del token envuelto. No establecen que el atacante robara 200 millones de dólares, y el anuncio de Iron Fish no proporcionó ninguna estimación de pérdidas en dólares.
La conexión del proyecto con Base es anterior al incidente. En octubre de 2025, crypto.news informó anteriormente que Base estaba desarrollando transacciones privadas después de adquirir el equipo de desarrollo de Iron Fish en marzo de ese año.
El CEO de Coinbase, Brian Armstrong, describió la adquisición como la incorporación del equipo a Base para trabajar en infraestructura de privacidad. El informe describió el uso de pruebas de conocimiento cero por parte de Iron Fish para ocultar los detalles de las transacciones y sus conexiones con otras blockchains a través de ChainPort.
Auditorías anteriores examinaron el protocolo central y el código de minería
El historial de seguridad publicado de Iron Fish incluye una auditoría del protocolo central realizada por Inversed Tech, finalizada el 1 de junio de 2023.
La revisión cubrió el diseño del protocolo, la implementación en Rust de su mecanismo de privacidad y los circuitos de pruebas de conocimiento cero. Iron Fish enumeró 37 hallazgos, incluidos tres problemas críticos y una advertencia, y dijo que los problemas identificados se resolvieron y se verificaron de nuevo.
Un problema crítico descubierto antes del lanzamiento de la red principal involucraba la maleabilidad de los ID de activos, lo que podría haber roto el requisito de que las entradas y salidas de las transacciones se equilibraran para cada activo. Los desarrolladores abordaron ese problema antes de que la red se lanzara el 20 de abril de 2023.
Una revisión de FishHash separada involucró a Trail of Bits. Encargada en enero de 2024, la evaluación de siete días examinó la especificación del algoritmo de minería y las implementaciones de CPU en Rust y C++.
Su alcance declarado concernía al rendimiento de la minería, los requisitos de memoria y la resistencia a hardware especializado.
El rol documentado de ChainPort se extendía más allá del movimiento de activos. En un aviso de seguridad de agosto de 2024, la Iron Fish Foundation describió el cribado de direcciones del puente, incluidas las comprobaciones contra las listas de sanciones de la Oficina de Control de Activos Extranjeros de Estados Unidos.
El mismo aviso decía que ChainPort podía congelar los tokens afectados e investigar actividades sospechosas, con la capacidad de congelar activos en direcciones particulares o quemar fondos identificados como maliciosos.
