Iron Fish披露源自2019年Merkle树实现的通胀漏洞，宣布将终止项目支持，建议用户尽快完成资产迁移
隐私公链 Iron Fish 宣布将终止对网络的所有剩余支持。团队称涉及 wIRON 与 ChainPort 跨链桥的异常活动源于链自身通胀漏洞，而非跨链桥；该漏洞可追溯至2019年初一次 Merkle 树实现提交，影响 nullifier 计算，使同一票据可被重复花费。修复补丁已提交，代码仓库将关闭归档。
事件时间线
- [10-31 00:22] Iron Fish 因通胀漏洞将终止支持，漏洞源自 2019 年 Merkle 树实现（吴说）
- [10-31 00:30] 终止网络所有剩余支持，Iron Fish确认漏洞源于底层通胀漏洞（Odaily 星球日报）
背景与影响
2026年10月31日，吴说与 Odaily 星球日报先后报道，隐私公链 Iron Fish 宣布即将终止对其网络的所有剩余支持。团队表示，数日前发现涉及 wIRON 和 ChainPort 跨链桥的异常活动，经联合调查确认，根源是 Iron Fish 区块链自身的通胀漏洞，而非跨链桥。两个信源对责任归属的表述一致，均将问题定位在 Iron Fish 链本身。
漏洞的源头被追溯至2019年初的一次 Merkle 树实现代码提交，问题集中在隐私票据的 nullifier（防止重复花费的标识）计算上。吴说的表述是涉及 nullifier 的「计算」，Odaily 的表述是「计算逻辑」，两者指向同一处代码，措辞略有差异但未形成实质分歧。按报道，该缺陷使攻击者能够多次花费同一票据，并通过 ChainPort 跨链桥转出资产。值得注意的是，两个信源均提到，相关代码此前已纳入内部及外部审计范围，但漏洞未被发现。
处置方面，团队表示已提交修复补丁，并在相关 PR 中附上详细复盘，随后将关闭并归档代码仓库。截至两篇报道发出，材料均未披露受影响资产的具体规模、wIRON 持有者的后续安排，以及终止支持的确切时间表，也未说明跨链桥方面是否会另行采取措施。这些空白意味着事件的实际波及范围目前仍无法从公开信息中判断。
从影响解读看，这一案例的关键信息不在损失数字，而在时间跨度与审计结论之间的落差：一处2019年初提交的实现代码，经历了内部与外部审计，仍未在漏洞被发现前暴露风险，最终以公链团队终止全部剩余支持收场。对关注链上安全的用户来说，后续可核实的节点是修复补丁与复盘 PR 的内容、代码仓库关闭归档的实际进度，以及 wIRON 与 ChainPort 相关资产的处置说明。日常跟踪此类事件时，不少读者会通过火币HTX注册APP下载、芝麻Gate.io注册APP下载、Bitget注册APP下载、币安binance注册APP下载、欧易OKX注册APP下载等入口留意交易平台公告；这些渠道仅作信息获取之用，本文不构成任何投资建议。
常见问题
这次事件影响的是 Iron Fish 链还是 ChainPort 跨链桥？
按团队与两家媒体的说法，根源是 Iron Fish 区块链自身的通胀漏洞，而非跨链桥。异常活动涉及 wIRON 和 ChainPort 跨链桥，攻击者通过该跨链桥转出资产。
漏洞为什么长期没有被审计发现？
材料只说明相关代码此前已纳入内部及外部审计范围但漏洞未被发现，未解释具体原因。团队称已在相关 PR 中附上详细复盘，可关注该复盘披露的内容。
接下来有哪些可以确认的后续节点？
可确认的节点是：修复补丁已提交、详细复盘附于相关 PR、团队将关闭并归档代码仓库。受影响资产规模、wIRON 持有者安排与终止支持时间表，材料均未披露。