Zcash 開發團隊披露，網絡中的 Orchard 隱藏池曾存在嚴重漏洞，理論上可讓攻擊者在不被發現的情況下偽造無限數量的 ZEC。相關問題已於本週早些時候完成緊急修復，但團隊表示，僅憑密碼學方法，無法確認漏洞修復前是否曾在主網上被利用。
漏洞自 2022 年起持續存在
負責披露的 Shielded Labs 於 6 月 5 日表示，此問題自 Orchard 於 2022 年 5 月啟用後便已存在，直至 6 月 2 日才完成應急處理。此前外界所見的協調網路升級，實際與這次漏洞修復直接相關。
安全研究人員 Taylor Hornby 於 5 月 29 日在一次受託安全審查中發現該問題，並在本地測試環境中成功構造出可運行的利用方式。披露稱，漏洞源於 Orchard 電路中的約束不足，導致錯誤輸入有機會通過橢圓曲線乘法校驗，進而生成偽造的 ZEC。
隱私機制增加了核查難度
開發者表示，目前沒有證據顯示該漏洞在修復前已被實際利用。不過，Orchard 交易採用隱私保護機制，外部無法像公開賬本那樣逐筆核驗，因此也沒有明確方法證明偽造代幣從未進入流通。
這意味著，儘管問題已修補，但 Zcash 的供應完整性仍留下不確定的部分。Shielded Labs 表示，團隊評估歷史上被利用的可能性較低，原因之一是該漏洞長期未被資深密碼學研究人員發現；在內部確認問題後，可利用的窗口也迅速縮小。
Team evaluation of subsequent network upgrades
此次披露亦提到，研究人員在審查過程中使用了 Anthropic 的 Opus 4.8 模型，以及定制的 AI 輔助審計方法。Shielded Labs 表示，漏洞是在新模型發布後不久被發現的。
團隊目前正評估是否發起後續網路升級，以進一步核查 Zcash 供應是否完整，並消除外界對偽造 ZEC 的疑慮。初步方案包括啟用新的屏蔽池，並對從 Orchard 流出的代幣實施 “turnstile accounting” 核驗。更多細節預計將在下周公佈。
- 發現時間：2026 年 5 月 29 日
- 緊急修復完成：2026 年 6 月 2 日
- 對外披露時間：2026 年 6 月 5 日