Zcash подтвердил критическую уязвимость в пуле приватных транзакций: ZEC обвалился на 43%

По данным CoinDesk, экосистема Zcash подтвердила наличие критической уязвимости в Orchard — пуле приватных транзакций, которая потенциально позволяла создавать неограниченное количество ZEC. Исправление было завершено 1 июня. При этом из-за приватной архитектуры Orchard сейчас невозможно проверить в блокчейне, использовалась ли уязвимость в период с мая 2022 года по июнь 2026 года. На фоне сообщения курс ZEC снизился примерно до 250 долларов, а максимальная внутридневная просадка достигла 43%. Уязвимость связана с обходом валидации Проблему 29 мая обнаружил исследователь безопасности Тейлор Хорнби. Хорнби, привлечённый командой Zcash для проведения исследований по безопасности, при поддержке Anthropic's Claude Opus подготовил полностью рабочий эксплойт. Уязвимость затрагивает логику проверки входов транзакции в Orchard. Формально проверка выглядит как подтверждение соответствия входов правилам, но фактически не обеспечивает корректного применения ограничений. Это позволяло злоумышленнику сформировать поддельные входные данные, которые проходят проверку доказательства с нулевым разглашением, и тем самым "выпускать" ZEC из воздуха. Такие токены неотличимы от легитимных. Патч развернули 1 июня Хорнби отметил, что проверил эксплойт только локально и сразу уведомил ZODL, координирующую разработку Zcash, не предпринимая попыток атаки на mainnet. 1 июня экосистема Zcash развернула экстренный патч, чтобы исключить дальнейшую эксплуатацию. Команда также признала, что окно потенциальной эксплуатации могло составлять около четырёх лет. Сложность в том, что Orchard — это privacy pool: он скрывает суммы и участников транзакций, из-за чего криптографически невозможно установить, происходила ли скрытая эмиссия в прошлом. Shielded Labs предлагает сетевое обновление Для снижения последующих рисков Shielded Labs выдвигает инициативу по обновлению сети. План включает запуск нового пула приватных транзакций и внедрение механизма проверки "turnstile accounting" для токенов, выходящих из Orchard. По этой схеме существующие токены Orchard должны будут пройти через проверяемую контрольную точку, чтобы выявить возможный поддельный объём. Предложение требует одобрения через механизмы управления сообщества и должно пройти стандартный процесс сетевого апгрейда Zcash. Более детальная версия ожидается на следующей неделе. Внимание рынка переключилось на роль ИИ в аудите Помимо плана апгрейда Shielded Labs заявила о запуске математической верификации всего Orchard-circuit, а также о намерении нанять руководителя по безопасности и исследователей в области криптографии. Инцидент также усилил интерес к применению ИИ в исследованиях безопасности. Claude Opus 4.8 был публично выпущен 28 мая, и, как отмечают участники рынка, давняя критическая уязвимость была обнаружена примерно за 24 часа после выхода модели. По мере появления более мощных моделей темпы атак и мер защиты для криптопротоколов могут ускориться.