Exchange Ranking
Top Exchanges
24h Volume Ranking
Popularity Ranking
Exchange BTC Balance
Proof of Reserves
Decentralized Exchanges
Funding Rate
Funding Heatmap
Liquidation Data
Max Pain
Long/Short Ratio
Whale L/S Ratio
Binance/Okex/Huobi L/S
Bitfinex Margin L/S
ETF Tracker
Solana ETF
XRP ETF
Hong Kong ETF
Bitcoin Treasuries
Crypto Reversal
Ethereum Reserves
HyperLiquid Wallet Analysis
Hyperliquid Whale Watch
Large Transactions
On-chain Movement
Bitcoin ROI
Stablecoin Market Cap
Options Analysis
News
Articles
Economic Calendar
Features
Wallet
Contract Calculator
Security
Collections
Watchlist
FollowingIron Fish 宣布终止网络支持：发现可重复花费屏蔽资金的通胀漏洞
Iron Fish 团队在排查出一个可追溯至 2019 年初的通货膨胀漏洞后，宣布结束对所有剩余网络的支持。该漏洞允许攻击者重复花费同一笔屏蔽资金（shielded funds），并通过 ChainPort 桥将其转出。
Iron Fish 将该利用方式归因于其默克尔树（Merkle tree）实现中的一个缺陷，具体涉及笔记空值化器（note nullifiers）的处理逻辑。攻击者在聚合资金并通过 ChainPort 转移之前，反复花费了相同的笔记。尽管内部和外部审计均覆盖了受影响的代码路径，但未能识别出这一漏洞。团队表示，已在归档仓库前提交了补丁并发布了事后分析报告。
漏洞溯源与调查过程
据 Iron Fish 公告称，调查始于团队几天前注意到涉及 wIRON 和 ChainPort 的异常活动。通过与桥接运营商合作并审查日志，开发人员将问题源头锁定在 Iron Fish 区块链本身。然而，声明中并未披露通过漏洞生成的总金额、通过桥接提取的价值，以及针对受影响持有者的赔偿计划。
团队将漏洞追溯至 2019 年早期的一次代码提交，当时实现了标准的默克尔树结构，用于组织和验证区块链记录。Iron Fish 在解释中指出，该实现与笔记空值化器的计算方式之间存在交互缺陷。空值化器是防止屏蔽资金在交易后被再次花费的关键机制组成部分。由于这一缺陷，攻击者得以多次花费同一笔记。Iron Fish 指出，攻击者利用了这一漏洞，汇总所得笔记并通过 ChainPort 将资金转出。
“这段代码路径曾在我们内外部审计的范围内，”团队写道，同时承认审核人员遗漏了该 bug。
在正式停止支持之前，开发人员提交了补丁，并在相关的拉取请求（Pull Request）中包含了详细的事后分析报告。公告将存储库的关闭和归档描述为最后一步。需要强调的是，停止开发者支持并不等同于所有独立运行的节点都已停止服务，但声明明确指出了撤回对网络的所有剩余支持。
wIRON 价格崩盘与市场反应
交易者 AzFlin 和 Abu 分享的交易图表显示，在 Base 链上交易的包装代币 wIRON 的显示市值出现了急剧下跌。AzFlin 描述其市值从约 2 亿美元跌至 2,000 美元左右。他在 Aerodrome 平台上展示的 wIRON/USDC 交易对截图显示，市值接近 1,900 美元，流动性仅为 302 美元，并伴有警告提示该交易对流动性极低。Abu 分享了另一张图表，显示崩溃后的显示资本约为 1,600 美元。
这些数字仅描述了包装代币交易对的估值，并不能直接证明攻击者窃取了 2 亿美元，且 Iron Fish 的公告也未提供具体的美元损失估算。
项目背景与历史审计记录
该项目与 Base 的联系早于此次事件。此前有报道指出，Base 在同年三月收购了 Iron Fish 开发团队，并于 2025 年 10 月开始开发隐私交易功能。Coinbase CEO Brian Armstrong 曾表示，此次收购旨在让团队加入 Base 以构建隐私基础设施。报道提到，Iron Fish 使用零知识证明来隐藏交易细节，并通过 ChainPort 与其他区块链建立连接。
Iron Fish 发布的安全历史记录包括由 Inversed Tech 完成的底层协议审计，该审计于 2023 年 6 月 1 日定稿。审查涵盖了协议设计、隐私机制的 Rust 实现以及零知识证明电路。Iron Fish 列出了 37 项发现，其中包括三个严重问题和一个警告，并表示已解决所发现的问题并进行了复查。其中一项在主线网络启动前发现的严重问题涉及资产 ID 的可变性，这可能导致交易输入和输出的平衡要求被破坏。开发人员在网络于 2023 年 4 月 20 日启动前解决了该问题。
另一次名为 FishHash 的审查由 Trail of Bits 进行。该评估于 2024 年 1 月委托，为期七天，主要检查挖矿算法的规范及其在 Rust 和 C++ 中的 CPU 实现。其既定范围涉及挖矿性能、内存需求以及对专用硬件的抵抗力。
ChainPort documented 的角色不仅限于资产转移。在 2024 年 8 月的安全通知中，Iron Fish 基金会描述了桥接的地址筛查功能，包括对美国外国资产控制办公室（OFAC）制裁名单的检查。该通知还指出，ChainPort 可以冻结受影响的代币并调查可疑活动，具备冻结特定地址资产或销毁被认定为恶意资金的能力。
