Я не заметил, что даже незначительное изменение даст другой хэш. Но тогда вообще непонятно, зачем может быть нужен World ID, если он не гарантирует соблюдения принципа "один человек - одна учётная запись".
Качественный алгоритм хеширования предполагает значительное изменение хеша даже при изменении входных данных всего на 1 бит. Так и должно быть. Именно поэтому разработчики WorldCoin для получения WorldID используют не алгоритм хеширования, а специальный разработанный ими алгоритм, на входе которого - изображения радужки, а на выходе - некий образ, производный от исходного изображения. 
Разработчики дали специальное имя этому образу - iris code. При повторной идентификации, изображение радужки преобразуется в iris code, и по нему ищется похожий уже существующий iris code в базе данных. Алгоритм получения iris code из изображения радужки и последующее сравнение с эталоном по нежёсткому алгоритму делает независимым процесс идентификации от условий съёмки.