Zcash प्रोटोकॉल के ऑर्चर्ड शील्डेड पूल में एक गंभीर भेद्यता (vulnerability) का खुलासा होने के बाद रातोंरात दोहरे अंकों में गिर गया, जिससे चार साल से अधिक समय तक अदृश्य जालसाजी की अनुमति मिल सकती थी।
कॉइनगेको डेटा के अनुसार, गोपनीयता कॉइन बुधवार को $635 के स्थानीय उच्चतम स्तर से गिरकर गुरुवार को $309 के इंट्राडे निचले स्तर पर आ गया। तब से यह थोड़ा उबरकर लगभग $330 पर आ गया है, जो उस दिन 37.8% नीचे था।
https://t.co/v7BiOdzU9E
— zooko🛡🦓🦓🦓 ⓩ (@zooko) June 4, 2026
यह भेद्यता 29 मई को सुरक्षा शोधकर्ता टेलर हॉर्नबी द्वारा AI-सहायता प्राप्त ऑडिटिंग टूल्स का उपयोग करके खोजी गई थी।
यह ऑर्चर्ड सर्किट के भीतर कोड की दो पंक्तियों में निहित था, जो Zcash के शील्डेड लेनदेन को नियंत्रित करने वाला क्रिप्टोग्राफिक घटक है, और इसने एक दुर्भावनापूर्ण एक्टर को बिना किसी ऑन-चेन हस्ताक्षर के शील्डेड पूल के अंदर जाली ZEC बनाने की अनुमति दी। यदि खोज से पहले बग का फायदा उठाया गया होता, तो इसे साबित करने का कोई तरीका नहीं होता।
"यह भेद्यता मई 2022 में ऑर्चर्ड के सक्रियण से लेकर 1 जून, 2026 को आपातकालीन फिक्स तैनात होने तक मौजूद थी," Zcash विकास के पीछे की संस्था Shielded Labs ने एक प्रकटीकरण पोस्ट में लिखा। "ऑर्चर्ड की गोपनीयता विशेषताओं और बग की प्रकृति के कारण, केवल क्रिप्टोग्राफी का उपयोग करके यह निर्धारित करने का कोई निश्चित तरीका नहीं है कि ऐसा शोषण हुआ था या नहीं।"
इस घटना ने एक संरचनात्मक समस्या पर बहस को फिर से तेज कर दिया है जिसे आलोचक कहते हैं कि यह विशिष्ट बग से परे है। बिटकॉइन या एथेरियम के विपरीत, जहां ऑन-चेन शोषण तुरंत दिखाई देता है, Zcash जैसे गोपनीयता कॉइन ऐसी स्थितियां बनाते हैं जहां एक सफल हमले का कभी पता नहीं चल पाता है।
"Zcash बग्स की एक अद्वितीय श्रेणी को सक्षम बनाता है, जहाँ यदि उनका शोषण किया जाता है, तो किसी को पता नहीं चलेगा," क्रिप्टो कमेंटेटर उदी वर्थाइमर ने ट्वीट किया। "यह अद्वितीय श्रेणी अभी भी मौजूद है। यह तथ्य कि उन्होंने इस विशिष्ट बग को ठीक कर दिया है, अप्रासंगिक है।"
एज़्टेक लैब्स के सीईओ जो एंड्रयूज, एक गोपनीयता-केंद्रित उत्पाद स्टूडियो के अनुसार, अंडर-कंस्ट्रेंड इलिप्टिक कर्व चेक, इस भेद्यता के मूल में दोष की श्रेणी, उत्पादन ZK सर्किट में सबसे आम कमजोरियों में से हैं। एंड्रयूज ने कहा कि यह पैटर्न Zcash के लिए नया नहीं है, और उन्होंने यह भी जोड़ा कि AI ऐसे बग्स की खोज की दर को पूरे उद्योग में तेज कर रहा है।
एंड्रयूज ने Decrypt को बताया कि दीर्घकालिक समाधान औपचारिक सर्किट सत्यापन है जिसे दूसरे प्रूफ सिस्टम के साथ जोड़ा गया है, एक ऐसा दृष्टिकोण जिसकी एथेरियम पहले से ही योजना बना रहा है। उन्होंने कहा, "एक राज्य संक्रमण को वैध होने के लिए दोनों प्रणालियों को सहमत होना चाहिए, जिससे बग्स के शोषण की संभावना बहुत कम हो जाती है।"
BitMEX के पूर्व सीईओ आर्थर हेस ने खुलासा किया कि प्रकटीकरण के बाद उन्होंने अपनी पूरी Zcash स्थिति को समाप्त कर दिया था।
धारकों के लिए तत्काल जोखिम चेन-व्यापी मुद्रास्फीति नहीं है, बल्कि ऑर्चर्ड पूल की संभावित दिवालियापन है, जिसका अर्थ है कि यदि जाली दावे सीमित पूल शेष के लिए वैध दावों के खिलाफ प्रतिस्पर्धा करते हैं तो शील्डेड ZEC धारक पतला हो सकते हैं।
The Holy Trinity is dead. Sadly due to the Orchard Pool exploit, I had to dump our entire $ZEC bag.
- While I think it's extremely unlikely of any minting, it cannot be formally cryptographically proved impossible
- The privacy from AI, govt, big tech narrative demands perfection…— Arthur Hayes (@CryptoHayes) June 5, 2026
हर कोई इस चिंता को साझा नहीं करता है। ग्रेस्केल के मुख्य कानूनी अधिकारी क्रेग सैल्म ने तर्क दिया कि पैच से पहले शोषण की संभावना नहीं थी। सैल्म ने कहा कि यह मानने के लिए कि भेद्यता का वास्तव में फायदा उठाया गया था, किसी को सभी मुख्य डेवलपर्स की तुलना में कोडबेस की अधिक गहनता से जांच करनी पड़ी होगी, और फिर एक ऐतिहासिक बुल रन के दौरान पूरे पूल को खाली करने की इच्छा का विरोध करना पड़ा होगा। उन्होंने ट्वीट किया, "मुझे यह असंभव लगता है।"
Shielded Labs ने टर्नस्टाइल अकाउंटिंग के साथ एक नया शील्डेड पूल तैनात करने वाले नेटवर्क अपग्रेड का प्रस्ताव दिया है, जो किसी को भी Zcash आपूर्ति की अखंडता को सत्यापित करने की अनुमति देगा।
एंड्रयूज ने कहा कि उस अपग्रेड की संरचना, जिसके लिए सभी कॉइनों को नए पूल में प्रवेश करने से पहले अनशील्ड होने की आवश्यकता होती है, किसी भी पिछले शोषण से जोखिम को शील्डेड संपत्तियों की वर्तमान राशि तक प्रभावी ढंग से सीमित करती है। उन्होंने कहा, "नए अपग्रेड का औपचारिक सत्यापन जोखिमों को काफी हद तक कम करता है।"
ZEC
