Zcash revela una vulnerabilidad en Orchard que habría permitido falsificar ZEC sin límite
CoinDesk informa de que el equipo de desarrollo de Zcash ha comunicado la existencia de una vulnerabilidad crítica en Orchard, el "shielded pool" de la red. En teoría, el fallo habría permitido a un atacante crear una cantidad ilimitada de ZEC sin ser detectado. La brecha se corrigió de urgencia a principios de esta semana, aunque el equipo subraya que, basándose solo en métodos criptográficos, no es posible confirmar si llegó a explotarse en la mainnet antes del parche.
Shielded Labs, entidad responsable de la divulgación, indicó el 5 de junio que el problema estaba presente desde la activación de Orchard en mayo de 2022 y no se remedió hasta el 2 de junio. La actualización coordinada de la red que el público ya había observado estaba directamente vinculada a esta corrección.
El investigador de seguridad Taylor Hornby detectó el fallo el 29 de mayo durante una revisión de seguridad de confianza y logró construir un exploit funcional en un entorno local de pruebas. Según la divulgación, el origen está en restricciones insuficientes dentro del circuito de Orchard, lo que permite que entradas malformadas superen la verificación de multiplicación en curvas elípticas y, con ello, se generen ZEC falsificados. Los mecanismos de privacidad elevan la dificultad de verificación.
Los desarrolladores afirman que actualmente no hay indicios de explotación previa al parche. Aun así, dado que las transacciones de Orchard emplean mecanismos de preservación de privacidad, terceros externos no pueden auditar cada operación como en un libro mayor público. Por ello, no existe una forma definitiva de demostrar que nunca entraron tokens falsificados en circulación. El resultado es que, pese a la corrección, persiste incertidumbre sobre la integridad de la oferta de Zcash.
Shielded Labs estima que la explotabilidad histórica fue baja, en parte porque el fallo pasó inadvertido durante un periodo prolongado incluso para investigadores criptográficos experimentados; tras la confirmación interna, la ventana potencial de explotación se redujo rápidamente. El equipo evalúa nuevas actualizaciones de red.
La nota también señala que, durante la revisión, los investigadores utilizaron el modelo Opus 4.8 de Anthropic y métodos de auditoría asistida por IA personalizados. Shielded Labs añadió que el hallazgo se produjo poco después del lanzamiento del nuevo modelo.
En paralelo, el equipo analiza si impulsar una actualización adicional para reforzar la verificación de la oferta total de Zcash y responder a las dudas externas sobre posibles ZEC falsificados. La propuesta preliminar contempla habilitar un nuevo "shielded pool" e introducir verificación de "turnstile accounting" para los tokens que salgan de Orchard. Se esperan más detalles la próxima semana.
Fechas clave: descubrimiento, 29 de mayo de 2026; corrección de emergencia completada, 2 de junio de 2026; divulgación pública, 5 de junio de 2026.
