Iron Fish宣布结束网络支持
Iron Fish宣布结束所有剩余的网络支持，原因是发现了一个追溯至2019年初的通货膨胀漏洞。该漏洞允许攻击者重复使用相同的隐私资金，并通过ChainPort桥进行转移。
漏洞调查与发现
根据Iron Fish的公告，调查始于团队注意到几天前wIRON和ChainPort之间的异常活动。在与桥接运营商合作并审查其日志后，开发人员追踪到问题源于Iron Fish区块链本身。公告中未透露通过该漏洞产生的总金额、通过桥接提取的价值或对受影响持有者的补偿计划。
团队追踪到该漏洞源于2019年初的一次代码提交，该提交实现了标准的Merkle树结构，用于组织和验证区块链记录。在解释中，Iron Fish指出了该实现与计算票据的无效标识符（nullifier）方式之间的相互作用。无效标识符是防止隐私资金在交易后再次被使用的机制的一部分。由于该缺陷，攻击者可以多次使用相同的票据。
攻击者的利用与市场反应
Iron Fish表示，攻击者利用该漏洞，收集了结果票据，并通过ChainPort转移资金。团队在声明中写道：
“这条代码路径在我们外部和内部审计的范围内”
，同时承认审查人员未能发现该漏洞。
在撤回支持之前，开发人员表示已提交了补丁，并在相关的拉取请求中包含了详细的事后分析。公告中描述了存储库的关闭和归档作为最后步骤。结束开发者支持并不意味着每个独立运行的节点都已停止。声明特别宣布撤回对网络的所有剩余支持。
交易者AzFlin和Abu分享的截图显示，wIRON的市场资本化急剧下降。AzFlin描述了从约2亿美元下降到2000美元的情况。他在Aerodrome上显示的wIRON/USDC交易对的截图显示，市场资本化接近1900美元，流动性仅为302美元，并附有该交易对流动性极少的警告。Abu分享了另一张图表，显示崩溃后显示的资本化约为1600美元。
项目背景与审计历史
这些数字描述了包装代币的交易对估值，并不表明攻击者盗取了2亿美元，而Iron Fish的公告也未提供任何美元损失的估算。该项目与Base的联系早于此次事件。2025年10月，crypto.news曾报道，Base在2019年3月收购Iron Fish开发团队后，正在开发私密交易。
Coinbase首席执行官Brian Armstrong表示，此次收购将团队引入Base，以致力于隐私基础设施的建设。报告描述了Iron Fish使用零知识证明来隐藏交易细节，并通过ChainPort与其他区块链的连接。
Iron Fish发布的安全历史包括由Inversed Tech进行的核心协议审计，该审计于2023年6月1日完成。审查涵盖了协议设计、隐私机制的Rust实现和零知识证明电路。Iron Fish列出了37个发现，包括三个关键问题和一个警告，并表示已解决并重新检查了识别出的问题。
在主网启动前发现的一个关键问题涉及资产ID的可变性，这可能会破坏每个资产的交易输入和输出平衡的要求。开发人员在2023年4月20日网络启动前解决了该问题。
另一项FishHash审查涉及Trail of Bits。该审查于2024年1月委托，历时七天，评估了挖矿算法的规范及其在Rust和C++中的CPU实现。其声明的范围涉及挖矿性能、内存要求和对专用硬件的抵抗能力。
ChainPort的角色与安全通知
ChainPort的文档角色不仅限于资产转移。在2024年8月的安全通知中，Iron Fish基金会描述了桥接的地址筛查，包括对美国财政部外国资产控制办公室制裁名单的检查。该通知还表示，ChainPort可以冻结受影响的代币并调查可疑活动，具备在特定地址冻结资产或销毁被识别为恶意的资金的能力。
