PANews 10월 31일 소식, 프라이버시 퍼블릭 체인 Iron Fish가 당일 늦은 시각 Iron Fish 네트워크에 대한 모든 잔여 지원을 종료한다고 밝혔다. 팀은 최근 wIRON과 ChainPort 크로스체인 브리지에서 비정상적인 활동을 발견했다고 전했다. ChainPort와 협력해 조사한 결과, 근본 원인은 Iron Fish 블록체인 자체의 인플레이션 취약점으로 확인됐다. 이 취약점은 2019년 초 머클 트리(Merkle tree) 구현의 한 커밋까지 거슬러 올라간다. 당시 개발자는 표준 머클 트리를 구현했으나, '노트 무효화 식별자'(note's nullifier, 사용자가 자신의 자금을 사용할 수 있게 하는 메커니즘)의 계산 방식에 미세한 차이가 있어 공격자가 동일한 노트(票据)를 여러 번 사용할 수 있었다. 이후 공격자는 이 취약점을 악용해 여러 노트를 집계했고, ChainPort 크로스체인 브리지를 통해 자금 이동을 완료했다.
해당 코드 경로는 내부·외부 감사 범위에 포함돼 있었지만 취약점은 발견되지 않았다. 팀은 수정 패치와 상세한 사후 분석 보고서를 제출했으며, 이후 Iron Fish 코드베이스를 폐쇄하고 아카이빙할 예정이다. Iron Fish는 성명서에서 즉시 업그레이드할 수 없는 소프트웨어(암호화폐 업계 대다수 프로젝트가 여기에 해당)는 극도로 취약한 위치에 있으며, 복잡한 코드 취약점을 발견하고 악용하는 능력이 날로 '상품화'되고 있다고 지적했다. 팀은 커뮤니티에 감사를 표하고, 암호화폐 업계가 돌파구를 찾기를 기원했다.
