Zcash сообщил об уязвимости в Orchard, теоретически позволявшей бесконечную подделку ZEC

По данным CoinDesk, команда разработчиков Zcash раскрыла информацию о критической уязвимости в экранированном пуле Orchard, которая теоретически позволяла злоумышленникам незаметно создавать неограниченное количество ZEC. Исправление было экстренно внесено в начале этой недели, но разработчики подчеркнули: одних криптографических методов недостаточно, чтобы установить, использовалась ли проблема в основной сети до выхода патча. Уязвимость присутствовала с 2022 года. Shielded Labs, подготовившая раскрытие, сообщила 5 июня, что дефект существовал с момента активации Orchard в мае 2022 года и был устранен только 2 июня. Ранее замеченное пользователями скоординированное обновление сети было напрямую связано с закрытием этой уязвимости. Исследователь безопасности Тейлор Хорнби обнаружил проблему 29 мая в ходе доверенного аудита и смог собрать рабочий эксплойт в локальной тестовой среде. В сообщении указано, что корень уязвимости — недостаточные ограничения в схеме Orchard: из-за этого некорректно сформированные входные данные проходили проверку умножения на эллиптических кривых, что позволяло генерировать поддельные ZEC. Механизмы приватности дополнительно усложняют проверку. Разработчики заявили, что на текущий момент нет признаков эксплуатации уязвимости до исправления. При этом операции Orchard используют приватные механизмы, поэтому внешние наблюдатели не могут проверять транзакции поштучно так же, как в публичных реестрах. Это означает, что окончательно доказать отсутствие поддельных монет в обращении невозможно, а значит после патча сохраняется неопределенность в отношении целостности предложения Zcash. Shielded Labs оценила историческую эксплуатируемость как низкую. В числе причин — то, что дефект долгое время оставался незамеченным даже опытными криптографами, а после внутреннего подтверждения проблемы окно для эксплуатации быстро сузилось. Команда рассматривает последующие обновления сети. Отдельно отмечается, что в ходе проверки исследователи применяли модель Anthropic Opus 4.8 и кастомные методы аудита с AI-поддержкой. По словам Shielded Labs, уязвимость была найдена вскоре после выхода новой модели. Сейчас команда оценивает целесообразность дополнительного обновления сети, чтобы лучше подтвердить полноту предложения Zcash и снять внешние опасения о поддельных ZEC. Предварительное предложение включает запуск нового экранированного пула и внедрение проверки "turnstile accounting" для токенов, выходящих из Orchard. Дополнительные детали ожидаются на следующей неделе. Дата обнаружения: 29 мая 2026 года. Экстренное исправление завершено: 2 июня 2026 года. Дата раскрытия: 5 июня 2026 года.