交易所排行
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注Iron Fish 宣布终止网络支持：发现可重复花费屏蔽资金的通胀漏洞
Iron Fish 团队在排查出一个可追溯至 2019 年初的通货膨胀漏洞后，宣布结束对所有剩余网络的支持。该漏洞允许攻击者重复花费同一笔屏蔽资金（shielded funds），并通过 ChainPort 桥将其转出。
Iron Fish 将该利用方式归因于其默克尔树（Merkle tree）实现中的一个缺陷，具体涉及笔记空值化器（note nullifiers）的处理逻辑。攻击者在聚合资金并通过 ChainPort 转移之前，反复花费了相同的笔记。尽管内部和外部审计均覆盖了受影响的代码路径，但未能识别出这一漏洞。团队表示，已在归档仓库前提交了补丁并发布了事后分析报告。
漏洞溯源与调查过程
据 Iron Fish 公告称，调查始于团队几天前注意到涉及 wIRON 和 ChainPort 的异常活动。通过与桥接运营商合作并审查日志，开发人员将问题源头锁定在 Iron Fish 区块链本身。然而，声明中并未披露通过漏洞生成的总金额、通过桥接提取的价值，以及针对受影响持有者的赔偿计划。
团队将漏洞追溯至 2019 年早期的一次代码提交，当时实现了标准的默克尔树结构，用于组织和验证区块链记录。Iron Fish 在解释中指出，该实现与笔记空值化器的计算方式之间存在交互缺陷。空值化器是防止屏蔽资金在交易后被再次花费的关键机制组成部分。由于这一缺陷，攻击者得以多次花费同一笔记。Iron Fish 指出，攻击者利用了这一漏洞，汇总所得笔记并通过 ChainPort 将资金转出。
“这段代码路径曾在我们内外部审计的范围内，”团队写道，同时承认审核人员遗漏了该 bug。
在正式停止支持之前，开发人员提交了补丁，并在相关的拉取请求（Pull Request）中包含了详细的事后分析报告。公告将存储库的关闭和归档描述为最后一步。需要强调的是，停止开发者支持并不等同于所有独立运行的节点都已停止服务，但声明明确指出了撤回对网络的所有剩余支持。
wIRON 价格崩盘与市场反应
交易者 AzFlin 和 Abu 分享的交易图表显示，在 Base 链上交易的包装代币 wIRON 的显示市值出现了急剧下跌。AzFlin 描述其市值从约 2 亿美元跌至 2,000 美元左右。他在 Aerodrome 平台上展示的 wIRON/USDC 交易对截图显示，市值接近 1,900 美元，流动性仅为 302 美元，并伴有警告提示该交易对流动性极低。Abu 分享了另一张图表，显示崩溃后的显示资本约为 1,600 美元。
这些数字仅描述了包装代币交易对的估值，并不能直接证明攻击者窃取了 2 亿美元，且 Iron Fish 的公告也未提供具体的美元损失估算。
项目背景与历史审计记录
该项目与 Base 的联系早于此次事件。此前有报道指出，Base 在同年三月收购了 Iron Fish 开发团队，并于 2025 年 10 月开始开发隐私交易功能。Coinbase CEO Brian Armstrong 曾表示，此次收购旨在让团队加入 Base 以构建隐私基础设施。报道提到，Iron Fish 使用零知识证明来隐藏交易细节，并通过 ChainPort 与其他区块链建立连接。
Iron Fish 发布的安全历史记录包括由 Inversed Tech 完成的底层协议审计，该审计于 2023 年 6 月 1 日定稿。审查涵盖了协议设计、隐私机制的 Rust 实现以及零知识证明电路。Iron Fish 列出了 37 项发现，其中包括三个严重问题和一个警告，并表示已解决所发现的问题并进行了复查。其中一项在主线网络启动前发现的严重问题涉及资产 ID 的可变性，这可能导致交易输入和输出的平衡要求被破坏。开发人员在网络于 2023 年 4 月 20 日启动前解决了该问题。
另一次名为 FishHash 的审查由 Trail of Bits 进行。该评估于 2024 年 1 月委托，为期七天，主要检查挖矿算法的规范及其在 Rust 和 C++ 中的 CPU 实现。其既定范围涉及挖矿性能、内存需求以及对专用硬件的抵抗力。
ChainPort documented 的角色不仅限于资产转移。在 2024 年 8 月的安全通知中，Iron Fish 基金会描述了桥接的地址筛查功能，包括对美国外国资产控制办公室（OFAC）制裁名单的检查。该通知还指出，ChainPort 可以冻结受影响的代币并调查可疑活动，具备冻结特定地址资产或销毁被认定为恶意资金的能力。
