Die auf Privatsphäre ausgerichtete öffentliche Blockchain Iron Fish hat ihr Netzwerk aufgrund einer kritischen Sicherheitslücke offiziell abgeschaltet.

PANews 31. Oktober Nachricht: Die Privacy-Public-Chain Iron Fish hat eine Erklärung veröffentlicht, in der sie mitteilt, dass sie noch am selben Tag jegliche verbleibende Unterstützung für das Iron Fish-Netzwerk einstellen wird. Das Team gab an, dass bei wIRON und der ChainPort-Cross-Chain-Bridge kürzlich anomale Aktivitäten entdeckt wurden. Nach gemeinsamen Untersuchungen mit ChainPort wurde bestätigt, dass die Ursache in einer Inflation-Schwachstelle in der Iron Fish-Blockchain selbst lag. Die Schwachstelle lässt sich auf einen Commit in der Merkle-Tree-Implementierung Anfang 2019 zurückverfolgen. Damals implementierten die Entwickler einen Standard-Merkle-Tree, doch aufgrund eines subtilen Unterschieds in der Berechnungsmethode des „Nullifiers der Note“ (des Mechanismus, der es Nutzern ermöglicht, ihre Mittel zu verwenden) konnten Angreifer dieselbe Note mehrfach verwenden. In der Folge nutzten die Angreifer diese Schwachstelle aus, um mehrere Notes zu aggregieren, und führten die Übertragung von Mitteln über die ChainPort-Cross-Chain-Bridge durch.

Obwohl dieser Codepfad im Umfang interner und externer Audits lag, wurde die Schwachstelle nicht entdeckt. Das Team hat einen Fix-Patch zusammen mit einem detaillierten Post-Mortem-Bericht eingereicht und wird anschließend die Iron Fish-Codebasis schließen und archivieren. In seiner Erklärung wies Iron Fish darauf hin, dass Software, die nicht sofort aktualisiert werden kann (was für die meisten Projekte im Krypto-Bereich gilt), sich in einer äußerst verletzlichen Position befindet; die Fähigkeit, komplexe Code-Schwachstellen zu entdecken und auszunutzen, werde zunehmend „kommodifiziert“. Das Team dankte der Community und wünschte der Krypto-Branche einen Weg nach vorn.