Iron Fish 因 2019 年通胀漏洞被利用而终止全部网络支持

Iron Fish 在发现一个可追溯至 2019 年初的通胀漏洞后，宣布终止所有剩余的网络支持。该漏洞允许攻击者反复花费同一笔受屏蔽资金，并通过 ChainPort 桥退出。

根据 Iron Fish 的公告，调查是在团队几天前注意到涉及 wIRON 和 ChainPort 的异常活动后启动的。开发人员与桥运营方合作并审查其日志，将问题追溯至 Iron Fish 区块链本身。

该声明未披露通过该漏洞利用所创造的总量、通过桥提取的价值，或针对受影响持有者的补偿计划。

Iron Fish 将重复花费追溯至 2019 年的缺陷

团队将该漏洞追溯至 2019 年初的一次代码提交，该提交实现了一个标准的 Merkle 树——一种用于组织和验证区块链记录的结构。

在其解释中，Iron Fish 指出了该实现与 note 无效化器计算方式之间的交互问题。无效化器是用于防止受屏蔽资金在交易后被再次花费的机制的一部分。

由于该缺陷，攻击者可以多次花费同一 note。Iron Fish 表示，攻击者叠加利用了该漏洞，收集了由此产生的 note，并通过 ChainPort 将资金转出。

“该代码路径属于我们外部和内部审计的范围，”团队写道，同时承认审查者遗漏了该漏洞。

在撤回支持之前，开发人员表示他们已提交补丁，并在相关拉取请求中附上了详细的事后分析报告。公告将代码库的关闭和归档描述为最后步骤。

终止开发者支持本身并不证明每个独立运行的节点都已停止。该声明具体宣布的是撤回对该网络的所有剩余支持。

wIRON 图表显示 Base 交易对崩盘

交易员 AzFlin 和 Abu 分享的截图显示，在 Base 上交易的封装代币 wIRON 的显示市值急剧下跌。

AzFlin 描述其从约 2 亿美元跌至 2,000 美元。他在 Aerodrome 上 wIRON/USDC 交易对的截图显示，市值接近 1,900 美元，流动性仅为 302 美元，并附有该交易对流动性极低的警告。

Abu 分享的另一张图表显示，崩盘后显示的市值约为 1,600 美元。

这些数字描述的是该封装代币交易对的估值。它们并不能证明攻击者窃取了 2 亿美元，而 Iron Fish 的公告也未提供美元损失估计。

该项目与 Base 的关联早于此次事件。2025 年 10 月，crypto.news 此前报道称 Base 在当年 3 月收购 Iron Fish 开发团队后，正在开发隐私交易。

Coinbase 首席执行官 Brian Armstrong 将此次收购描述为将该团队引入 Base 从事隐私基础设施工作。该报道描述了 Iron Fish 使用零知识证明来隐藏交易细节，以及其通过 ChainPort 与其他区块链的连接。

此前的审计审查了核心协议和挖矿代码

Iron Fish 公开的安全历史包括由 Inversed Tech 进行、于 2023 年 6 月 1 日定稿的核心协议审计。

该审查涵盖了协议设计、其隐私机制的 Rust 实现以及零知识证明电路。Iron Fish 列出了 37 项发现，包括三个关键问题和一个警告，并表示已识别的问题均已解决并重新检查。

在主网上线前发现的一个关键问题涉及资产 ID 可延展性，这可能会破坏每项资产的交易输入和输出必须平衡的要求。开发者在网络于 2023 年 4 月 20 日上线之前解决了该问题。

另一项单独的 FishHash 审查 涉及 Trail of Bits。该评估于 2024 年 1 月委托进行，为期七天，审查了挖矿算法的规范以及 Rust 和 C++ 中的 CPU 实现。

其声明的范围涉及挖矿性能、内存需求以及抗专用硬件能力。

ChainPort 记录在案的角色不仅限于转移资产。在 2024 年 8 月的一份 安全通知 中，Iron Fish 基金会描述了该桥的地址筛查，包括对照美国外国资产控制办公室制裁名单进行检查。

同一份通知称，ChainPort 可以冻结受影响的代币并调查可疑活动，并具备冻结特定地址资产或销毁被认定为恶意的资金的能力。