Компания Iron Fish объявила о прекращении всей дальнейшей поддержки сети после обнаружения ошибки, связанной с инфляцией, которая существовала с начала 2019 года и позволяла злоумышленнику неоднократно тратить одни и те же зашифрованные средства и выводить их через мост ChainPort.

Согласно объявлению компании Iron Fish, расследование началось после того, как команда заметила необычную активность, связанную с wIRON и ChainPort несколько дней назад. Сотрудничая с оператором моста и изучая его логи, разработчики выявили, что проблема связана с самим блокчейном Iron Fish.

В заявлении не были указаны общие суммы, созданные в результате использования уязвимости, суммы, выведенные через мост, или план компенсации для пострадавших держателей.

Iron Fish выявила повторное использование средств, связанное с ошибкой 2019 года

Команда обнаружила уязвимость в коде, внесенном в начале 2019 года, который реализовывал стандартную структуру Меркла, используемую для организации и проверки записей блокчейна.

В своем объяснении компания Iron Fish указала на взаимодействие между этой реализацией и способом расчета "нуллификатора" транзакции. Нуллификатор является частью механизма, предназначенного для предотвращения повторного использования зашифрованных средств после совершения транзакции.

Из-за этой ошибки злоумышленник мог тратить один и тот же "нуллификатор" более одного раза. Компания Iron Fish сообщила, что злоумышленник использовал эту уязвимость, собрал полученные "нуллификаторы" и вывел средства через ChainPort.

"Этот участок кода находился в рамках как внешних, так и внутренних аудитов", - написала команда, признавая, что аудиторы не заметили ошибку.

Возможно, вам будет интересно: Bitcoin Core будет раскрывать некоторые ошибки раньше. Смогут ли операторы узлов успеть обновиться?

Перед прекращением поддержки разработчики заявили, что внесли исправление и включили подробный отчет об анализе произошедшего в соответствующий запрос на внесение изменений. В объявлении также говорилось о закрытии и архивировании репозитория как о заключительных шагах.

Прекращение поддержки разработчиками само по себе не означает, что каждый автономно управляемый узел прекратил работу. В заявлении конкретно говорилось о прекращении всей дальнейшей поддержки сети.

Графики wIRON показывают обвал пары Base

Скриншоты, опубликованные трейдерами AzFlin и Abu, показали резкое падение рыночной капитализации wIRON, токена, торгуемого на платформе Base.

AzFlin описал снижение с примерно 200 миллионов долларов до 2 000 долларов. Скриншот пары wIRON/USDC на платформе Aerodrome показывал рыночную капитализацию около 1 900 долларов и всего 302 доллара ликвидности, а также предупреждение о том, что у этой пары очень низкая ликвидность.

Abu опубликовал отдельный график, показывающий рыночную капитализацию примерно в 1 600 долларов после обвала.

Эти цифры отражают оценку торговой пары токена. Они не подтверждают, что злоумышленник похитил 200 миллионов долларов, и в заявлении компании Iron Fish не приводится оценка ущерба в долларах.

Связь проекта с платформой Base существовала до инцидента. В октябре 2025 года портал crypto.news ранее сообщал, что Base разрабатывала систему приватных транзакций после приобретения команды разработчиков Iron Fish в марте того же года.

Генеральный директор Coinbase, Брайан Армстронг, описал это приобретение как привлечение команды в Base для работы над инфраструктурой, обеспечивающей конфиденциальность. В отчете также упоминалось об использовании Iron Fish технологии доказательств с нулевым знанием для сокрытия деталей транзакций и о ее связях с другими блокчейнами через ChainPort.

Более ранние аудиты охватывали основные протоколы и код майнинга.

В опубликованной истории безопасности Iron Fish содержится отчет об аудите основных протоколов, проведенный компанией Inversed Tech [https://ironfish.network/learn/blog/2023-08-11-audit], завершенный 1 июня 2023 года.

В ходе аудита были рассмотрены архитектура протокола, реализация механизма конфиденциальности на языке Rust и схемы доказательств с нулевым знанием. Iron Fish указала 37 обнаруженных проблем, включая три критических и одно предупреждение, и заявила, что все выявленные проблемы были устранены и повторно проверены.

Одна из критических проблем, обнаруженных до запуска основной сети, касалась возможности изменения идентификатора актива, что могло нарушить требование о балансе входных и выходных данных транзакции для каждого актива. Разработчики устранили эту проблему до запуска сети 20 апреля 2023 года.

Отдельный отчет FishHash, подготовленный компанией Trail of Bits, был заказан в январе 2024 года. В ходе семидневной оценки были изучены спецификации алгоритма майнинга и его реализации на языках Rust и C++.

Область исследования охватывала производительность майнинга, требования к памяти и устойчивость к специализированному оборудованию.

Роль ChainPort выходила за рамки простого перемещения активов. В уведомлении о безопасности, опубликованном фондом Iron Fish в августе 2024 года, описывалась проверка адресов моста, включая проверки на соответствие спискам санкций Управления по контролю за иностранными активами США (OFAC).

В том же уведомлении говорилось, что ChainPort может блокировать затронутые токены и расследовать подозрительную активность, а также имеет возможность блокировать активы на определенных адресах или уничтожать средства, идентифицированные как вредоносные.