Iron Fish 在發現一個可追溯至 2019 年初的通膨漏洞後，宣布終止所有剩餘的網路支援。該漏洞允許攻擊者重複花費同一筆受保護資金，並透過 ChainPort 橋接退出。
摘要
- Iron Fish 將該漏洞利用追溯至其 Merkle 樹實作，以及一項涉及 note 空值器（nullifier）的缺陷。
- 攻擊者在匯集資金並透過 ChainPort 轉移之前，重複花費了相同的 note。
- 內部與外部稽核涵蓋了受影響的程式碼路徑，但未能識別出該漏洞。
- 團隊表示，他們已提交修補程式，並在封存其儲存庫前附上了一份事後分析報告。
根據 Iron Fish 的公告，調查始於團隊數天前注意到涉及 wIRON 與 ChainPort 的異常活動。在與橋接營運商合作並審查其日誌後，開發人員將問題追溯至 Iron Fish 區塊鏈本身。
該聲明並未披露透過該漏洞利用所創造的總量、透過橋接提取的價值，或針對受影響持有者的補償計畫。
Iron Fish 將重複花費追溯至 2019 年的缺陷
團隊將該漏洞追溯至 2019 年初一次實作標準 Merkle 樹的程式碼提交。Merkle 樹是一種用於組織與驗證區塊鏈紀錄的結構。
在其說明中，Iron Fish 指出該實作與 note 空值器計算方式之間的交互作用。空值器是防止受保護資金在交易後被再次花費的機制的一部分。
由於該缺陷，攻擊者可以多次花費相同的 note。Iron Fish 表示，攻擊者複合利用了該漏洞，匯集了產生的 note，並透過 ChainPort 將資金轉出。
「此程式碼路徑屬於我們外部與內部稽核的範圍，」團隊寫道，同時承認審查者漏掉了該錯誤。
在撤回支援之前，開發人員表示他們已提交修補程式，並在相關的 pull request 中附上了詳細的事後分析報告。該公告將儲存庫的關閉與封存描述為最後的步驟。
終止開發者支援本身，並不代表每個獨立營運的節點都已停止。該聲明具體宣布撤回對該網路所有剩餘的支援。
wIRON 圖表顯示 Base 交易對崩跌
交易者 AzFlin 與 Abu 分享的截圖顯示，在 Base 上交易的封裝代幣 wIRON 所顯示的市值急劇下跌。
AzFlin 描述其從約 2 億美元下跌至 2,000 美元。他在 Aerodrome 上 wIRON/USDC 交易對的截圖顯示，市值接近 1,900 美元，流動性僅 302 美元，並附有該交易對流動性極低的警告。
Abu 分享了另一張圖表，顯示崩跌後所顯示的市值約為 1,600 美元。
這些數字描述的是該封裝代幣交易對的估值。它們並不證明攻擊者竊取了 2 億美元，而 Iron Fish 的公告也未提供任何美元損失估計。
該專案與 Base 的關聯早於此事件。2025 年 10 月，crypto.news 先前報導指出，Base 在同年 3 月收購 Iron Fish 開發團隊後，正在開發私密交易。
Coinbase 執行長 Brian Armstrong 將此次收購描述為將該團隊納入 Base，以從事隱私基礎設施的工作。該報導描述了 Iron Fish 使用零知識證明來隱藏交易細節，以及其透過 ChainPort 與其他區塊鏈的連接。
先前的稽核檢視了核心協議與挖礦程式碼
Iron Fish 公開的安全歷史包括由 Inversed Tech 進行、於 2023 年 6 月 1 日定稿的核心協議稽核。
該審查涵蓋協議設計、其隱私機制的 Rust 實作，以及零知識證明電路。Iron Fish 列出了 37 項發現，包括三個關鍵問題與一個警告，並表示已識別的問題均已解決並再次檢查。
在主網上線前發現的一個關鍵問題涉及資產 ID 可延展性，這可能破壞每種資產的交易輸入與輸出必須平衡的要求。開發者在網路於 2023 年 4 月 20 日上線前解決了該問題。
另一項獨立的 FishHash 審查 涉及 Trail of Bits。該審查於 2024 年 1 月委託進行，為期七天的評估檢查了挖礦演算法的規範以及 Rust 和 C++ 中的 CPU 實作。
其所述範圍涉及挖礦效能、記憶體需求以及抗專用硬體能力。
ChainPort 有記錄的角色不僅限於轉移資產。在 2024 年 8 月的一份 安全通知 中，Iron Fish 基金會描述了該橋的地址篩查，包括對照美國海外資產控制辦公室的制裁名單進行檢查。
同一份通知表示，ChainPort 可以凍結受影響的代幣並調查可疑活動，並有能力凍結特定地址的資產或銷毀被認定為惡意的資金。
