Zcash anjlok dua digit semalam setelah para pengembang mengungkapkan kerentanan kritis di shielded pool Orchard protokol yang bisa memungkinkan pemalsuan tak terdeteksi selama lebih dari empat tahun.

Koin privasi tersebut turun dari puncak lokal hari Rabu sebesar $635 menjadi titik terendah intraday $309 pada hari Kamis, menurut data CoinGecko. Sejak itu, harganya sedikit pulih menjadi sekitar $330, turun 37,8% pada hari itu.

Kerentanan tersebut ditemukan pada 29 Mei oleh peneliti keamanan Taylor Hornby menggunakan alat audit berbantuan AI.

Ini terletak pada dua baris kode di dalam sirkuit Orchard, komponen kriptografi yang mengatur transaksi terproteksi Zcash, dan memungkinkan pelaku jahat untuk membuat ZEC palsu di dalam shielded pool tanpa tanda tangan on-chain. Jika bug tersebut dieksploitasi sebelum ditemukan, tidak akan ada cara untuk membuktikannya.

"Kerentanan ini ada sejak aktivasi Orchard pada Mei 2022 hingga perbaikan darurat diterapkan pada 1 Juni 2026," tulis Shielded Labs, organisasi di balik pengembangan Zcash, dalam sebuah postingan pengungkapan. "Karena properti privasi Orchard dan sifat bug, tidak ada cara definitif untuk menentukan, hanya dengan menggunakan kriptografi, apakah eksploitasi tersebut terjadi."

Insiden ini telah menyulut kembali perdebatan mengenai masalah struktural yang menurut para kritikus melampaui bug spesifik tersebut. Tidak seperti Bitcoin atau Ethereum, di mana eksploitasi on-chain segera terlihat, koin privasi seperti Zcash menciptakan kondisi di mana serangan yang berhasil mungkin tidak akan pernah terdeteksi.

"Zcash memungkinkan kelas bug yang unik di mana jika dieksploitasi, tidak ada yang akan tahu," cuit komentator kripto Udi Wertheimer. "Kelas unik ini masih ada. Fakta bahwa mereka memperbaiki bug spesifik ini tidak relevan."

Pemeriksaan kurva eliptik yang kurang terkendala, kategori kelemahan yang menjadi inti kerentanan ini, adalah salah satu kelemahan paling umum dalam sirkuit ZK produksi, menurut Joe Andrews, CEO Aztec Labs, studio produk yang mengutamakan privasi. Pola ini bukan hal baru bagi Zcash, kata Andrews, menambahkan bahwa AI mempercepat tingkat penemuan bug semacam itu di seluruh industri.

Perbaikan jangka panjang, kata Andrews kepada Decrypt, adalah verifikasi sirkuit formal yang dikombinasikan dengan sistem bukti kedua, sebuah pendekatan yang sudah direncanakan Ethereum. "Kedua sistem harus setuju agar transisi status menjadi valid, yang secara drastis menurunkan kemungkinan bug dieksploitasi," katanya.

Reaksi Pasar yang Beragam

Arthur Hayes, mantan CEO BitMEX, mengungkapkan bahwa dia telah melikuidasi seluruh posisinya di Zcash menyusul pengungkapan tersebut.

Risiko langsung bagi pemegang bukan inflasi di seluruh rantai, melainkan potensi insolvensi dari pool Orchard itu sendiri, yang berarti pemegang ZEC terproteksi dapat terdilusi jika klaim palsu bersaing dengan klaim sah untuk saldo pool yang terbatas.

Tidak semua orang berbagi kekhawatiran itu. Craig Salm, kepala bagian hukum di Grayscale, berpendapat bahwa eksploitasi sebelum patch tidak mungkin terjadi. Untuk meyakini kerentanan itu benar-benar dieksploitasi, Salm berkata, seseorang harus memeriksa codebase lebih cermat daripada semua pengembang inti digabungkan, dan kemudian menahan keinginan untuk menguras seluruh pool selama bull run historis. "Menurut saya, itu tidak mungkin," cuitnya.

Shielded Labs telah mengusulkan peningkatan jaringan yang menerapkan shielded pool baru dengan akuntansi turnstile, yang akan memungkinkan siapa pun untuk memverifikasi integritas pasokan Zcash.

Andrews mengatakan struktur peningkatan tersebut, yang mengharuskan semua koin untuk 'unshield' sebelum memasuki pool baru, secara efektif membatasi risiko dari eksploitasi sebelumnya hingga jumlah aset terproteksi saat ini. "Verifikasi formal dari peningkatan baru ini semakin mengurangi risiko secara substansial," katanya.