Pasukan pembangun Zcash mengungkapkan bahawa kolam persembunyian Orchard dalam rangkaian pernah mengandungi lubang keamanan serius yang secara teorinya membolehkan penyerang memalsukan jumlah ZEC yang tidak terhad tanpa diketahui. Masalah berkaitan telah dibaiki secara kecemasan awal minggu ini, tetapi pasukan menyatakan bahawa dengan menggunakan kaedah kriptografi sahaja, tidak mungkin untuk mengesahkan sama ada lubang tersebut pernah dimanfaatkan di rangkaian utama sebelum dibaiki.
Lubang keamanan berterusan sejak tahun 2022
Shielded Labs yang bertanggung jawab atas pengungkapan menyatakan pada 5 Jun bahawa isu ini telah wujud sejak Orchard diaktifkan pada Mei 2022, dan penanganan kecemasan baru selesai pada 2 Jun. Peningkatan rangkaian yang sebelumnya dilihat oleh pihak luar sebenarnya berkaitan langsung dengan pembaikan lubang keamanan ini.
Penyelidik keselamatan Taylor Hornby menemui masalah ini pada 29 Mei semasa tinjauan keselamatan yang dipercayakan, dan berjaya membina cara pemanfaatan yang berfungsi dalam persekitaran ujian tempatan. Pendedahan tersebut menyatakan bahawa kelemahan itu berasal daripada kekurangan pengawasan dalam sirkuit Orchard, yang membolehkan input yang salah lulus ujian pendaraban lengkung eliptik, seterusnya menghasilkan ZEC palsu.
Mekanisme privasi meningkatkan kesukaran pemeriksaan
Pembangun menyatakan bahawa pada masa ini tiada bukti yang menunjukkan kelemahan tersebut telah dimanfaatkan sebelum diperbaiki. Namun, transaksi Orchard menggunakan mekanisme perlindungan privasi, sehingga pihak luar tidak dapat mengesahkan setiap transaksi secara terperinci seperti pada buku besar terbuka, dan oleh itu, tiada kaedah jelas yang boleh membuktikan bahawa token palsu tidak pernah memasuki peredaran.
Ini bermakna, walaupun masalah telah diperbaiki, integriti pasokan Zcash masih meninggalkan sebahagian yang tidak pasti. Shielded Labs menyatakan bahawa pasukan menilai kemungkinan pemanfaatan sejarahnya rendah, salah satu sebabnya ialah kelemahan ini tidak ditemui oleh penyelidik kriptografi berpengalaman selama masa yang panjang; selepas mengesahkan masalah secara dalaman, jendela pemanfaatan juga dengan cepat menyempit.
Tim menilai peningkatan rangkaian seterusnya
Pengungkapan ini juga menyatakan bahawa penyelidik menggunakan model Opus 4.8 milik Anthropic serta kaedah audit bantuan AI yang disesuaikan semasa proses pemeriksaan. Shielded Labs menyatakan bahawa lubang kelemahan ditemui tidak lama selepas model baharu dilancarkan.
Pasukan semasa ini menilai sama ada akan memulakan peningkatan rangkaian susulan untuk mengesahkan keseluruhan bekalan Zcash dan menghapuskan kebimbangan awam mengenai ZEC palsu. Cadangan awal termasuk mengaktifkan kolam terlindung baharu dan melaksanakan pengesahan “turnstile accounting” terhadap token yang keluar dari Orchard. Butiran lanjut dijangka diumumkan minggu depan.
- Waktu penemuan: 29 Mei 2026
- Pembaikan segera selesai: 2 Jun 2026
- Masa pengumuman awam: 5 Jun 2026