Iron Fish：2019年に書かれたバグが、なぜチェーン全体を停止させることになったのか？

Iron Fish公式Xは北京時間10月31日未明、Iron Fishネットワークへの残存サポートを当日付で正式にすべて終了すると投稿しました。理由は率直に書かれていました。要点をまとめます。

1. 発端：数日前、wIRONとChainPortのクロスチェーンブリッジで異常な動きを確認。ChainPortとログを調査した結果、Iron Fishチェーン自体にインフレーション（新規発行）に関する脆弱性があると判明しました。
2. 原因：2019年初頭のMerkleツリー実装におけるコードのコミットまでさかのぼりました。noteのnullifier（無効化マーカー。通常、ユーザーが資金を使う際に使われる）の計算方法に関する細部が原因で、攻撃者は同じnoteを複数回使用できました。
3. 攻撃：攻撃者は脆弱性を繰り返し悪用し、手元のnoteを統合したうえで、ChainPortのクロスチェーンブリッジを経由して資金を持ち出しました。
4. 対応：パッチは提出済みで、PRには詳細な事後報告が添付されています。その後、コードリポジトリを停止し、アーカイブしました。

率直な話：
· 最も胸に刺さる一文は、「このコードは内部・外部監査の対象範囲だったが、レビューで発見されなかった」というもの。「監査済み」は決して「脆弱性がない」という意味ではありません。
· 被害額は公式投稿に記載されていません。ネット上の数字を鵜呑みにしないでください。私も勝手に計算はしません。
· 「同じお金を何度も使える」バグが何年も潜伏していました。プライバシーを重視した設計のチェーンでは、外部の人が一目で見抜くのはさらに困難です。ただし、これは「プライバシー重視のチェーンはすべて安全でない」という意味ではありません。憶測で話を膨らませないでください。
· Iron Fishの反省点（これはプロジェクト側の見解です）：すぐにアップグレードできないソフトウェア、つまり大半の暗号資産ソフトウェアは、非常に危険な状況にあります。脆弱性を見つけ、悪用する能力はますます低コストになっている一方で、脆弱性を修正する側が攻撃者に追いつけるとは限りません。

あなたが保有しているプロジェクトは、問題発生後どれほど早くパッチを出せるでしょうか？それとも、ここでのように、パッチが出る日が閉鎖の日になるのでしょうか？

#IronFish #隐私链 #セキュリティ監査