La Fondazione Zcash rilascia un aggiornamento per correggere un bug critico di Orchard.

La sera di lunedì 1 giugno, l'ecosistema Zcash ha avviato un aggiornamento di rete coordinato in risposta a un problema critico che interessava Orchard, l'ultimo pool protetto di Zcash. @ZcashFoundation Successivamente, Zebra ha rilasciato le versioni 4.5.3 e 5.0.0 per risolvere il problema di fondo.

La natura della vulnerabilità

La falla consisteva in una vulnerabilità di solidità nel pool protetto di Orchard. In Zcash, solidità significa che il protocollo dovrebbe accettare solo transazioni valide e cambiamenti di stato validi. Un bug di solidità può consentire al sistema di accettare qualcosa che dovrebbe rifiutare. In questo caso, uno sfruttamento riuscito avrebbe potuto consentire transizioni di stato non valide all'interno di Orchard, potenzialmente compromettendo le garanzie contabili del pool. ZODL ha confermato che il bug riguardava l'implementazione del circuito di prova a conoscenza zero di Orchard nella crate halo2_gadgets.

I componenti interessati includevano versioni precedenti di halo2_gadgets, orchard, zcash_primitives, zcashd e zebrad. Non è stata trovata alcuna prova di sfruttamento. Il meccanismo di tornello di Zcash, che tiene traccia dei saldi attraverso pool di valore tra cui Sprout, Sapling, Orchard, transparent e lockbox, ha confermato che il totale $ ZEC L'approvvigionamento è rimasto intatto.

Risposta di emergenza in due fasi

Sviluppatori, gestori di infrastrutture, miner, exchange e altri partecipanti chiave della rete si sono coordinati per sospendere temporaneamente il mining delle transazioni relative a Orchard durante l'implementazione di un aggiornamento a livello di protocollo. La risposta si è svolta in due fasi: un soft fork al blocco 3,363,426 della mainnet ha disabilitato temporaneamente le azioni protette, prima che l'hard fork NU6.2, attivato al blocco 3,364,600, riattivasse il circuito corretto.

Migliori @ZcashFoundation Successivamente, Zebra ha rilasciato le versioni 4.5.3 e 5.0.0 per integrare la correzione sia nella versione stabile corrente che nel nuovo ramo di rilascio principale, esortando tutti gli operatori dei nodi ad aggiornare immediatamente.

Orchard è costruito sul sistema di verifica Halo 2, che ha eliminato la necessità di una cerimonia di configurazione affidabile, una critica di lunga data rivolta ai vecchi pool Sprout e Sapling di Zcash. Oltre il 30% della fornitura totale di $ZEC in circolazione si trova ora in pool schermati, un livello che gli analisti hanno descritto come un cambiamento strutturale nel modo in cui viene utilizzata la rete. Questa portata spiega perché la risposta è stata trattata con tanta urgenza.

L'incidente è l'ultimo di una serie di attività di sicurezza sulla rete. Solo un giorno prima di questa emergenza, la Fondazione aveva rilasciato Zebra 4.5.1 come hotfix per un bug critico nel conteggio delle firme durante l'operazione di consenso, che la versione 4.5.0 del giorno precedente non era riuscita a correggere completamente. La versione 4.5.0, più ampia, affrontava le problematiche emerse da oltre 80 segnalazioni di sicurezza ricevute durante la ZCG Vulnerability Disclosure Initiative tra aprile e maggio 2026. Una descrizione tecnica più completa è prevista una volta confermato il completamento dell'aggiornamento.

Fonti:
Forum della community di Zcash: Vulnerabilità di Orchard risolta con successo
Avventura nel mondo delle criptovalute: Zcash ripristina Orchard dopo una vulnerabilità critica del pool protetto.
The Crypto Times: Zcash esegue un fork di emergenza dopo la scoperta di una vulnerabilità critica nell'Orchard