Selon les nouvelles de ME, le 5 juin (UTC+8), Zooko Wilcox, fondateur de Zcash, a publié un message révélant qu'une vulnérabilité de falsification grave existait précédemment dans le pool Orchard de Zcash, permettant de générer une quantité illimitée de ZEC falsifiés non détectables au sein du pool Orchard. Cette vulnérabilité a été découverte le 29 mai par le chercheur en sécurité Taylor Hornby, grâce à une audit ciblé effectué avec le modèle Anthropic Opus 4.8, et a été signalée au Zcash Open Development Lab (ZODL). Le ZODL a ensuite coordonné une réponse d'urgence au sein de l'écosystème Zcash, et les correctifs associés ont été mis en œuvre le 2 juin.
Taylor Hornby a développé un programme d'attaque complet dans un environnement regtest local en utilisant Opus 4.8, permettant de générer des ZEC falsifiées en quantité illimitée et indétectables lors des tests. Si cet outil était exécuté sur la chaîne principale de Zcash, il pourrait générer des ZEC falsifiées en quantité illimitée et indétectables dans les portefeuilles Zcash de la chaîne principale. Cette vulnérabilité est liée à un élément sous-contraint dans le circuit Orchard, permettant à un attaquant d'entrer des entrées fausses arbitraires dans une multiplication de courbe elliptique tout en faisant passer la vérification de la multiplication. Cette faille existait depuis l'activation d'Orchard en mai 2022 jusqu'à son correctif d'urgence déployé le 1er juin 2026.
En raison des propriétés de confidentialité d'Orchard et de la nature de cette vulnérabilité, il n'est actuellement pas possible de déterminer par des méthodes cryptographiques uniquement si la vulnérabilité a été exploitée avant sa correction. Toutefois, Shielded Labs estime que la probabilité d'une exploitation antérieure est faible et explore la possibilité de déployer, via une mise à niveau du réseau, de nouveaux pools de confidentialité, de comptabiliser tous les jetons du pool Orchard, afin de permettre à quiconque de vérifier l'intégrité de l'offre de Zcash et de démontrer qu'aucun ZEC falsifié ne se trouve dans le pool Orchard.
À la suite d'une vulnérabilité dans Orchard Pool, ZEC a chuté de plus de 31 % en 24 heures, à 410,5 $.（来源：X平台）