پایان کار آیرون فیش: توقف پشتیبانی از شبکه به دلیل باگ دوبار خرج کردن

تیم پروژه آیرون فیش (Iron Fish) اعلام کرد که پس از کشف یک باگ تورمی که از اوایل سال ۲۰۱۹ در شبکه وجود داشته، تمام پشتیبانی‌های باقی‌مانده از شبکه را متوقف می‌کند. این آسیب‌پذیری به یک مهاجم اجازه داده بود تا وجوه محافظت‌شده (shielded funds) را بارها خرج کرده و از طریق پل چین‌پورت (ChainPort) از شبکه خارج کند.

بر اساس بیانیه آیرون فیش، تحقیقات پس از مشاهده فعالیت‌های غیرعادی مربوط به توکن wIRON و پل چین‌پورت در چند روز گذشته آغاز شد. توسعه‌دهندگان با همکاری اپراتور پل و بررسی لاگ‌ها، مشکل را به خود بلاکچین آیرون فیش ردیابی کردند.

در این بیانیه، مبلغ کل ایجاد شده از طریق این اکسپلویت، ارزش وجوه برداشت شده از طریق پل، یا طرحی برای جبران خسارت هولدرهای آسیب‌دیده فاش نشده است.

ردیابی یک نقص از سال ۲۰۱۹

تیم توسعه‌دهنده، این آسیب‌پذیری را به یک کامیت کد در اوایل سال ۲۰۱۹ ردیابی کرد که مربوط به پیاده‌سازی یک «درخت مرکل» (Merkle tree) استاندارد بود؛ ساختاری که برای سازماندهی و تأیید رکوردهای بلاکچین استفاده می‌شود.

در توضیحات فنی، آیرون فیش به تداخل بین آن پیاده‌سازی و نحوه محاسبه «نالیفایر» (nullifier) یک نوت اشاره کرد. نالیفایر بخشی از مکانیزمی است که از خرج شدن مجدد وجوه محافظت‌شده پس از یک تراکنش جلوگیری می‌کند.

به دلیل این نقص، مهاجم می‌توانست یک نوت را بیش از یک بار خرج کند. آیرون فیش اعلام کرد که مهاجم این اکسپلویت را تشدید کرده، نوت‌های حاصل را جمع‌آوری و وجوه را از طریق چین‌پورت به خارج از شبکه منتقل کرده است.

تیم توسعه‌دهنده ضمن پذیرش این موضوع که بازبینان این باگ را نادیده گرفته بودند، نوشت:

این بخش از کد در محدوده ممیزی‌های داخلی و خارجی ما قرار داشت.

تیم آیرون فیش

توسعه‌دهندگان قبل از توقف پشتیبانی، یک پچ برای رفع مشکل ارائه کردند و یک گزارش کالبدشکافی (postmortem) دقیق را در درخواست pull مربوطه گنجاندند. در این بیانیه، خاموش کردن و آرشیو کردن ریپازیتوری پروژه به عنوان آخرین اقدامات توصیف شده است.

سقوط ارزش توکن wIRON در شبکه بِیس

اسکرین‌شات‌های به اشتراک گذاشته شده توسط معامله‌گرانی مانند AzFlin و Abu، سقوط شدید ارزش بازار نمایش داده شده wIRON، توکن رپد شده این پروژه در شبکه بِیس (Base)، را نشان می‌دهد.

AzFlin از کاهش ارزش بازار از حدود ۲۰۰ میلیون دلار به ۲,۰۰۰ دلار خبر داد. اسکرین‌شات او از جفت ارز wIRON/USDC در صرافی Aerodrome، ارزش بازاری نزدیک به ۱,۹۰۰ دلار و تنها ۳۰۲ دلار نقدینگی را نشان می‌داد.

ابو نیز نمودار دیگری را به اشتراک گذاشت که ارزش بازاری حدود ۱,۶۰۰ دلار را پس از این سقوط نشان می‌داد.

این ارقام ارزش‌گذاری جفت ارز توکن رپد شده را توصیف می‌کنند و به این معنا نیست که مهاجم ۲۰۰ میلیون دلار به سرقت برده است. بیانیه آیرون فیش نیز هیچ تخمینی از زیان دلاری ارائه نکرده است.

سابقه پروژه و ممیزی‌های ناموفق

ارتباط این پروژه با شبکه بِیس به قبل از این حادثه بازمی‌گردد. پیش‌تر گزارش شده بود که بِیس پس از تصاحب تیم توسعه آیرون فیش در مارس سال گذشته، در حال توسعه تراکنش‌های خصوصی است. برایان آرمسترانگ، مدیرعامل کوین‌بیس، این تصاحب را با هدف آوردن تیم به بِیس برای کار بر روی زیرساخت‌های حریم خصوصی توصیف کرده بود.

تاریخچه امنیتی منتشر شده آیرون فیش شامل یک ممیزی پروتکل اصلی توسط Inversed Tech در ژوئن ۲۰۲۳ و یک ممیزی الگوریتم استخراج توسط Trail of Bits در ژانویه ۲۰۲۴ است. با این حال، هیچ‌یک از این بررسی‌ها موفق به کشف آسیب‌پذیری مذکور نشدند.

نقش چین‌پورت نیز فراتر از انتقال دارایی‌ها بود. بنیاد آیرون فیش در یک اطلاعیه امنیتی در آگوست ۲۰۲۴، به غربالگری آدرس‌ها توسط این پل، از جمله بررسی لیست‌های تحریم دفتر کنترل دارایی‌های خارجی آمریکا (OFAC)، اشاره کرده بود. طبق آن اطلاعیه، چین‌پورت می‌توانست توکن‌های آسیب‌دیده را مسدود و فعالیت‌های مشکوک را بررسی کند.