تم تأكيد وجود ثغرة أمنية خطيرة في خزان المعاملات الخاصة Orchard في بيئة Zcash، تسمح بخلق عدد غير محدود من ZEC. تم إصلاح الثغرة في 1 يونيو، ولكن بسبب تصميم Orchard للخصوصية، لا يمكن التحقق مباشرة من سلسلة الكتل ما إذا كانت الثغرة قد استُغلت بين مايو 2022 ويونيو 2026. بعد إصدار الخبر، هبطت ZEC إلى حوالي 250 دولارًا، بخسارة يومية قصوى بلغت 43%.
ثغرة تسمح بتجاوز التحقق
تم اكتشاف هذه الثغرة من قبل باحث الأمان تايلور هورنباي في 29 مايو. وقد كلف فريق Zcash هورنباي بإجراء بحث أمني، وكتب، بمساعدة Claude Opus 4.8 من Anthropic، كود استغلال كامل قابل للتنفيذ.
تتمثل المشكلة في منطق التحقق الخاص بـ Orchard بالنسبة لمدخلات المعاملة. على الرغم من أن هذا الفحص يبدو أنه يتحقق من مطابقة المدخلات للقواعد، إلا أنه لم يُنفّذ فعليًا القيود. إذا قام المهاجم ببناء مدخلات مزيفة، فلا يزال بإمكانه تجاوز التحقق باستخدام إثبات الصفر المعرفة، وبالتالي خلق ZEC من العدم، وهذه العملات المزيفة يصعب التمييز بينها وبين العملات الطبيعية.
تم الإصلاح
أشار هورنباي إلى أنه أكمل التحقق فقط في بيئة محلية، ثم كشف عن المشكلة فورًا لـ ZODL المسؤول عن تنسيق تطوير بروتوكول Zcash، ولم ينفذ الهجوم على الشبكة الرئيسية. وقد نفّذت بيئة Zcash إصلاحًا طارئًا في 1 يونيو لمنع استغلال هذه الثغرة مستقبلًا.
ومع ذلك، اعترف الفريق في نفس الوقت أن الفجوة الأمنية ربما كانت قابلة للاستغلال لمدة تقارب 4 سنوات. التحدي يكمن في أن Orchard هو حوض خصوصية بحد ذاته، وهدف تصميمه هو إخفاء مبالغ المعاملات ومعلومات المشاركين، مما يعني أنه لا يمكن للخارجيين تحديد ما إذا كان هناك تضخيم خفي في الماضي من خلال الأساليب التشفيرية.
المجتمع يقترح المضي قدمًا في الترقية
لمعالجة المخاطر المستقبلية، تقترح Shielded Labs إطلاق ترقية للشبكة. ويشمل المقترح نشر حوض خصوصية جديد، وتطبيق آلية تحقق تُسمى "turnstile accounting" على الرموز القادمة من Orchard.
وفقًا لهذا النهج، يجب أن تخضع رموز Orchard الحالية ل نقطة تحقق قابلة للتحقق لتحديد وجود عرض مزور. لا يزال يتطلب هذا الحل دعم حوكمة المجتمع، بالإضافة إلى اجتياز عملية الترقية القياسية لشبكة Zcash. من المتوقع نشر المقترح التفصيلي الأسبوع القادم.
قدرة التدقيق بالذكاء الاصطناعي تجذب الاهتمام
بالإضافة إلى خطة الترقية، أشارت Shielded Labs إلى أنها ستبدأ عمل التحقق الرياضي لدارات Orchard بالكامل، وستوظف مسؤولًا للأمان وباحثين في التشفير. وأثارت هذه الحادثة أيضًا اهتمام السوق بقدرة الأبحاث الأمنية المتعلقة بالذكاء الاصطناعي.
تم الإصدار العام لـ Claude Opus 4.8 في 28 مايو، ووجد الباحثون هذه الثغرة الحرجة التي كانت موجودة منذ سنوات بعد حوالي 24 ساعة من إطلاق النموذج. مع استمرار إطلاق نماذج أقوى، قد يتسارع وتيرة الهجوم والدفاع التي تواجهها بروتوكولات التشفير.