Iron Fishin Tuki Lopetetaan Inflaatiovirheen Takia
Iron Fish on ilmoittanut lopettavansa kaiken jäljellä olevan verkon tuen sen jälkeen, kun se paljasti inflaatiovirheen, joka juontaa juurensa vuoden 2019 alkuun. Tämä virhe mahdollisti hyökkääjän kuluttaa samoja suojattuja varoja toistuvasti ja poistua ChainPort-sillan kautta.
Virheen Taustat
Iron Fishin mukaan tutkimus alkoi, kun tiimi huomasi epänormaalia toimintaa, joka liittyi wIRON:iin ja ChainPortiin useita päiviä aikaisemmin. Työskennellessään sillan operaattorin kanssa ja tarkastellessaan sen lokitietoja kehittäjät jäljittivät ongelman Iron Fish -lohkoketjuun.
”Tämä koodipolku oli sekä ulkoisten että sisäisten tarkastustemme piirissä,” tiimi kirjoitti, samalla kun se myönsi, että tarkastajat olivat ohittaneet virheen.
Tiimi jäljitti haavoittuvuuden vuoden 2019 alun koodimuutokseen, joka toteutti Merkle-puun standardin, rakennetta, jota käytetään lohkoketjun tietojen järjestämiseen ja vahvistamiseen. Iron Fish tunnisti vuorovaikutuksen tämän toteutuksen ja sen tavan välillä, jolla muistiinpanon nollausluku lasketaan.
Hyökkäyksen Vaikutukset
Nollausluku on osa mekanismia, jota käytetään estämään suojattujen varojen kuluttaminen uudelleen tapahtuman jälkeen. Virheen vuoksi hyökkääjä pystyi kuluttamaan saman muistiinpanon useammin kuin kerran. Iron Fish kertoi, että hyökkääjä moninkertaisti hyökkäyksen, keräsi tuloksena syntyneet muistiinpanot ja siirsi varoja ChainPortin kautta.
Ennen tuen lopettamista kehittäjät kertoivat sitoutuneensa korjauspäivitykseen ja liittäneensä yksityiskohtaisen jälkipuintiraportin asiaankuuluvaan pull requestiin. Ilmoituksessa kuvattiin varaston sulkeminen ja arkistointi viimeisinä vaiheina.
Markkinareaktiot
Kauppiaat AzFlin ja Abu jakoivat kuvakaappauksia, jotka osoittivat jyrkän laskun wIRONin, Base-alustalla kaupattavan käärityn tokenin, markkina-arvossa. AzFlin kuvasi laskua noin 200 miljoonasta dollarista 2 000 dollariin. Hänen kuvakaappauksensa wIRON/USDC-parista Aerodromessa näytti markkina-arvon olevan lähellä 1 900 dollaria ja vain 302 dollaria likviditeettiä.
Nämä luvut kuvaavat käärityn tokenin kaupankäyntiparin arvostusta, eivätkä ne osoita, että hyökkääjä olisi varastanut 200 miljoonaa dollaria.
Iron Fishin Historia ja Tulevaisuus
Iron Fishin julkaistu turvallisuushistoria sisältää ydinprotokollan tarkastuksen Inversed Techiltä, joka valmistui 1. kesäkuuta 2023. Tarkastus kattoi protokollan suunnittelun, sen yksityisyysmekanismin Rust-toteutuksen ja nollatietotodistussilmukat.
Iron Fish listasi 37 havaintoa, mukaan lukien kolme kriittistä ongelmaa ja yhden varoituksen, ja sanoi, että tunnistetut ongelmat oli ratkaistu ja tarkastettu uudelleen. Yksi ennen pääverkon lanseerausta löydetty kriittinen ongelma liittyi omaisuus-ID:n muunneltavuuteen, mikä olisi voinut rikkoa vaatimuksen, että tapahtuman syötteiden ja lähtöjen on oltava tasapainossa jokaiselle omaisuudelle.
Kehittäjät käsittelivät tämän ongelman ennen verkon lanseerausta 20. huhtikuuta 2023. Erillinen FishHash-tarkastus käsitti Trail of Bits. Tammikuussa 2024 tilattu seitsemän päivän arviointi tarkasteli kaivostoimintaalgoritmin spesifikaatiota ja CPU-toteutuksia Rustissa ja C++:ssa.
ChainPortin dokumentoitu rooli ulottui omaisuuksien siirtämistä pidemmälle. Elokuussa 2024 julkaistussa turvallisuustiedotteessa Iron Fish Foundation kuvasi sillan osoitteiden tarkastusta, mukaan lukien tarkastukset Yhdysvaltain ulkomaisen omaisuuden valvontaviraston pakotelistoja vastaan.
Samassa tiedotteessa todettiin, että ChainPort voisi jäädyttää vaikuttavat tokenit ja tutkia epäilyttävää toimintaa, ja sillä oli kyky jäädyttää varoja tietyissä osoitteissa tai polttaa pahantahtoisiksi tunnistettuja varoja.
