Zcash confirma una vulnerabilidad crítica en el pool privado Orchard y ZEC llega a caer un 43%
CoinDesk informa de que el ecosistema de Zcash ha confirmado una vulnerabilidad crítica en Orchard, su pool de transacciones privadas, que permitiría falsificar una cantidad ilimitada de ZEC. La corrección se completó el 1 de junio, pero el propio diseño orientado a la privacidad de Orchard impide comprobar en cadena si el fallo fue explotado entre mayo de 2022 y junio de 2026. Tras conocerse la noticia, ZEC bajó hasta cerca de 250 dólares y llegó a registrar una caída máxima intradía del 43%.
La vulnerabilidad fue identificada el 29 de mayo por el investigador de seguridad Taylor Hornby, contratado por el equipo de Zcash para realizar investigación en seguridad. Hornby desarrolló un código de explotación plenamente funcional con ayuda de Claude Opus de Anthropic. El problema se ubica en la lógica de validación de las entradas de transacción de Orchard: el control aparenta verificar el cumplimiento de las reglas, pero no aplica correctamente las restricciones. En la práctica, un atacante podría construir entradas fraudulentas que aun así superen la verificación de pruebas de conocimiento cero, generando ZEC "de la nada". Esos tokens falsos serían indistinguibles de los legítimos.
Hornby señaló que solo verificó el fallo en un entorno local y que lo comunicó de inmediato a ZODL, entidad encargada de coordinar el desarrollo de Zcash, sin ejecutar ningún ataque en la red principal. El ecosistema desplegó un parche de emergencia el 1 de junio para impedir nuevas explotaciones. Aun así, el equipo reconoció que la vulnerabilidad podría haber estado disponible para su abuso durante aproximadamente cuatro años. El punto crítico es que Orchard, al ocultar importes e identidad de participantes, también bloquea la posibilidad de determinar criptográficamente si se produjo una acuñación encubierta en el pasado.
Para reducir riesgos a futuro, Shielded Labs propone una actualización de red que incluiría el despliegue de un nuevo pool de privacidad y la implantación de un mecanismo de verificación de "turnstile accounting" para los tokens procedentes de Orchard. Con este enfoque, los tokens actuales de Orchard tendrían que pasar por un punto de control verificable para detectar cualquier suministro falsificado. La propuesta requiere aprobación mediante la gobernanza comunitaria y deberá seguir el proceso estándar de actualizaciones de Zcash. Se espera una versión más detallada la próxima semana.
Además, Shielded Labs indicó que iniciará la verificación matemática de todo el circuito de Orchard y que contratará a un responsable de seguridad y a investigadores en criptografía. El caso también ha reforzado el interés del mercado por el papel de la IA en la investigación de seguridad: Claude Opus 4.8 se publicó el 28 de mayo y, según los investigadores, el fallo crítico —existente desde hace tiempo— se identificó en unas 24 horas tras su disponibilidad. Con modelos cada vez más potentes, podría acelerarse el ritmo de ataques y defensas en protocolos cripto.
