Josh Swihart a détaillé la réponse d'urgence de Zcash à une vulnérabilité qui aurait pu permettre la création illimitée de ZEC contrefaits, alors que le token a récupéré plus de 41 % depuis son plus bas niveau post-divulgation.
Selon Josh Swihart, fondateur du Zcash Open Development Lab (ZODL), l'équipe a déployé une mise à niveau du réseau en deux étapes après avoir découvert une faille critique dans le pool blindé Orchard de Zcash, le système de transaction principal du réseau axé sur la confidentialité.
Dans une publication du 8 juin sur X, Swihart a déclaré que la première étape impliquait un soft fork qui a désactivé les transactions Orchard tout en permettant aux développeurs de réduire le risque d'exploitation sans révéler publiquement des détails qui auraient pu exposer le réseau à d'autres menaces.
Une deuxième mise à niveau, le hard fork NU6.2, a été lancée le 3 juin et a corrigé la vulnérabilité sous-jacente avant que les transactions Orchard ne soient restaurées.
La mise à jour fait suite à la divulgation la semaine dernière par Shielded Labs, une organisation de support indépendante pour Zcash, qui a averti qu'une faille dans le circuit Orchard aurait pu permettre à un attaquant de frapper un nombre illimité de ZEC contrefaits.
Shielded Labs a déclaré que le problème avait été corrigé et a ajouté qu'il considérait une exploitation antérieure comme peu probable, bien qu'il ait reconnu qu'il n'y avait aucune preuve cryptographique que le bug n'avait jamais été utilisé.
Orchard sert de pool blindé principal de Zcash, permettant aux utilisateurs d'envoyer et de recevoir du ZEC via des preuves à divulgation nulle de connaissance qui dissimulent les détails des transactions tout en validant les transferts.
Pendant le processus de réponse, Swihart a déclaré que ZODL avait travaillé en étroite collaboration avec les pools de minage, les bourses et d'autres participants de l'écosystème qui avaient demandé des examens de code avant de soutenir la mise à niveau.
Parmi ces participants, Swihart a identifié ViaBTC et Foundry comme des contributeurs clés qui ont aidé à coordonner la réponse du réseau et à vérifier les changements d'urgence avant l'activation.
Les discussions antérieures autour de la vulnérabilité avaient déjà suscité des conversations sur des mesures de récupération à plus long terme. Shielded Labs avait précédemment présenté une proposition connue sous le nom d'Ironwood, qui isolerait le pool Orchard existant, suivrait les pièces quittant le système via une comptabilité de tourniquet, et guiderait finalement les utilisateurs vers un nouveau pool blindé avec des mécanismes de vérification de l'approvisionnement plus solides.
Des commentaires distincts de David Schwartz, CTO émérite de Ripple, ont également abordé les préoccupations des utilisateurs de Zcash concernant les fonds laissés dans Orchard.
Schwartz a déclaré que les détenteurs passifs ne perdraient pas automatiquement la propriété de leurs pièces si aucune exploitation ne se produisait avant un quelconque processus de migration, expliquant que les règles de consensus pourraient continuer à reconnaître ces soldes même si le pool cessait de voir une activité régulière.
La réaction du marché à la divulgation a été immédiate. Selon les données de prix précédemment rapportées, le ZEC est tombé d'environ 630 $ à environ 303 $ après la nouvelle de la vulnérabilité, alors que les traders étaient aux prises avec l'incertitude concernant l'intégrité du pool blindé et la possibilité que des pièces contrefaites aient pu entrer en circulation.
Les questions concernant la sécurité du protocole ont dépassé la communauté Zcash. Parmi les réactions très médiatisées, le co-fondateur de BitMEX, Arthur Hayes, a déclaré qu'il avait liquidé toute sa position ZEC après avoir appris la vulnérabilité.
Les échanges récents ont montré des signes de stabilisation. Selon les données de crypto.news citées par Swihart, le ZEC a augmenté de 13,5 % au cours des dernières 24 heures pour atteindre 428,67 $, ce qui représente une récupération d'environ 41,5 % par rapport au plus bas du 5 juin, proche de 303 $.
Pour résumer l'incident, Swihart a déclaré que le réseau avait résolu la vulnérabilité, testé ses procédures de réponse aux incidents, renforcé ses relations avec les partenaires de l'écosystème et aligné les développeurs autour d'une voie de récupération pour le projet.
