〔品傳媒／綜合外電報導〕專注隱私交易的公鏈Iron Fish開發團隊於台灣時間10月31日透過官方X帳號宣布，將終止對該網路的所有剩餘支援並封存程式碼庫。團隊表示，近日在Base鏈上的包裝代幣wIRON與ChainPort跨鏈橋出現的異常活動，根源是Iron Fish區塊鏈本身一個早在2019年就寫入程式碼的「無限增發」漏洞，攻擊者可重複花費同一筆隱私資產再經跨鏈橋轉出；受此衝擊，原生代幣IRON一週內跌幅約77%，實際損失金額至今仍無法確認。
重點摘要：Iron Fish證實鏈上存在可重複花費的增發漏洞，修補程式只適用重新啟動的新鏈，無法套用於現有主網，團隊因此決定停止支援。wIRON供給一度暴增至原本的數百倍，官方先前已警告其無法維持1:1錨定。
Iron Fish宣布終止支援 修補程式無法挽救現有主網
根據TokenPost報導，Iron Fish團隊與跨鏈橋業者ChainPort共同檢視紀錄後確認，問題出在Iron Fish區塊鏈本身，而非跨鏈橋。團隊已提交修補程式，並在相關程式碼合併請求中附上事後檢討報告，完成後將關閉並封存程式碼庫。
依據Iron Fish在GitHub公布的事後檢討，新修補會改變共識所使用的默克爾樹根，因此只能用於從新創世區塊重新啟動的鏈，與既有主網及測試網的歷史紀錄不相容，也沒有升級或遷移路徑。這也是團隊選擇停止支援、而非直接升級網路的關鍵原因。
wIRON供給暴增 IRON一週重挫約77%
據動區BlockTempo整理，Base鏈上的wIRON原本應由IRON以1:1支撐，但其供給在數小時內從數百萬枚暴增至逾29億枚，Iron Fish隨後發出警告，呼籲用戶暫勿購買wIRON或使用跨鏈橋。
| 時間（台灣時間） | 事件 |
|---|---|
| 10月27日中午前後 | Base鏈上wIRON供給約393萬枚 |
| 10月28日凌晨約3時30分 | wIRON供給突破29.6億枚 |
| 10月28日上午11時 | Iron Fish警告勿買wIRON、勿用跨鏈橋，無法保證1:1支撐 |
| 10月30日中午 | 修補程式（PR #5762）合併 |
| 10月31日 | 宣布終止網路支援並封存程式碼庫 |
資料來源：動區BlockTempo
動區引用CoinGecko數據指出，截至該文發布時，wIRON供給約27.9億枚，約為IRON流通量（約7,697萬枚）的36倍；IRON價格則從10月27日約0.075美元跌至約0.017美元，市值僅約132萬美元。crypto.news則提到，有交易員分享的圖表顯示wIRON帳面市值從約2億美元縮水到僅約2,000美元，但該媒體也提醒，這只反映交易對估值，不代表實際被盜金額。
漏洞潛伏7年 內外部稽核都未發現
事後檢討說明，問題出在Iron Fish實作默克爾樹時，遇到右側空缺節點會以左側節點自我雜湊補齊。在這種被複製的分支上，同一筆「note」（隱私資產單位）可以宣稱位於不同位置，仍能通過零知識證明驗證，卻產生不同的「作廢標記」（nullifier），網路因而無法察覺重複花費。
根據DeFiprime報導，攻擊者必須掌握該筆note的內容與花費權限，因此只能重複花費自己的資產、無法動用他人資金，但可藉此憑空放大持有量，再透過ChainPort轉出。由於隱私鏈上的位置資訊是隱藏的，單憑鏈上資料無法判定哪些交易、多少金額來自這個漏洞。
Iron Fish坦承，這段程式碼「在內外部稽核範圍內」，卻未在審查中被發現。crypto.news指出，Inversed Tech曾於2023年6月完成核心協議稽核，提出37項發現，其中包括3項重大問題，官方當時表示已修正並複查。
背景：團隊已加入Base 網路原處維護模式
Iron Fish主網於2023年4月上線，是以零知識證明隱藏交易金額與雙方身分的隱私公鏈。crypto.news報導，Coinbase旗下以太坊二層網路Base於2025年3月延攬Iron Fish開發團隊，投入隱私基礎設施研發；DeFiprime則指出，基金會在2026年4月已將網路轉入僅維護模式，僅保留啟動節點、區塊瀏覽器與官網等基礎設施。
目前Iron Fish並未公布遭增發的總量、經跨鏈橋轉出的價值或任何補償方案，也沒有恢復wIRON錨定的時間表。後續觀察重點包括ChainPort是否凍結或銷毀可疑代幣、持有wIRON與IRON的用戶如何處理資產，以及此案是否促使其他隱私鏈重新檢視類似的默克爾樹實作。
常見問題 FAQ
Iron Fish為什麼要終止網路支援？
Iron Fish發現鏈上存在可重複花費同一筆資產的增發漏洞。修補程式會改變共識規則，只能用在全新啟動的鏈，無法套用到現有主網，團隊因此決定停止支援並封存程式碼庫。
這個漏洞能偷走其他用戶的資產嗎？
根據官方事後檢討，攻擊者必須擁有該筆資產的花費權限，因此只能重複花費自己的資產，無法直接動用他人資金。不過憑空增發會稀釋代幣價值，並讓wIRON失去1:1支撐。
這次事件造成多少損失？
目前無法確定。Iron Fish未公布增發總量與跨鏈橋轉出價值，且隱私鏈隱藏了資產位置，單靠鏈上資料難以認定哪些交易來自漏洞。
參考資料
- 動區BlockTempo：隱私鏈 Iron Fish 收攤不幹了！7 年前埋下跨鏈無限增發漏洞「無法修復」
- crypto.news：Iron Fish ends support after 2019 inflation bug exploit
- DeFiprime：Iron Fish ends support after inflation bug and bridge warning
- TokenPost：Iron Fish Plans to End Network Support After Inflation Bug
- Iron Fish GitHub：Merkle note position alias postmortem
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。