Morning Minute to codzienny newsletter pisany przez Tylera Warnera. Analizy i opinie w nim wyrażone są jego własnymi i niekoniecznie odzwierciedlają te z Decrypt. Sprawdź także nasz nowy codzienny program informacyjny, obejmujący wszystkie najważniejsze wiadomości w 5 minut, dostępny do pobrania na Apple Pod lub Spotify.
GM!
Dzisiejsze najważniejsze wiadomości:
🚩 Luka w ZCash Znaleziona przez Whitehat’a Używającego Claude Opus 4.8
29 maja badacz bezpieczeństwa o imieniu Taylor Hornby odkrył krytyczną podatność w puli prywatności Orchard w Zcash, która umożliwiłaby atakującemu wybicie nieograniczonej ilości fałszywych ZEC.
Hornby, który został zatrudniony przez zespół ZCash właśnie w tym celu, znalazł ją za pomocą modelu Claude Opus 4.8 firmy Anthropic. Do 1 czerwca ekosystem Zcash wdrożył awaryjną poprawkę, rozwiązując problem – choć był on możliwy do wykorzystania przez ostatnie 4 lata.
Na czym polegała podatność: Pula Orchard, najbardziej zaawansowana warstwa transakcji prywatnych Zcash, aktywna od maja 2022 roku, wykorzystuje dowody zerowej wiedzy do weryfikacji transakcji bez ujawniania kwot czy uczestników. Błąd w prostych słowach: konkretna kontrola, która miała weryfikować dane wejściowe transakcji, w rzeczywistości nie egzekwowała zasad, które pozornie egzekwowała. Atakujący, który by ją odkrył, mógłby wprowadzać fałszywe dane wejściowe do tej kontroli, a ona i tak by je przepuściła – generując ZEC z niczego, a system dowodów ZK zatwierdzałby oszukańczą transakcję jako ważną.
Hornby, z pomocą Opus 4.8, napisał w pełni działający exploit. Przetestował go w środowisku lokalnym i zadziałał: nieograniczone, niewykrywalne fałszywe ZEC, nie do odróżnienia od legalnych monet. Natychmiast ujawnił to ZODL, organowi koordynującemu rozwój Zcash, zamiast uruchamiać go w sieci głównej.
https://t.co/v7BiOdzU9E
— zooko🛡🦓🦓🦓 ⓩ (@zooko) June 4, 2026
Co sprawia, że wpływ exploita jest nieznany: Ponieważ Orchard jest pulą prywatności, nie ma kryptograficznego sposobu, aby ustalić, czy ta podatność została wykorzystana między majem 2022 a czerwcem 2026. Właściwości prywatności, które czynią Orchard wartościowym, są tymi samymi właściwościami, które sprawiają, że wykorzystanie luki jest niewykrywalne.
Teraz zespół, który zatrudnił Hornby’ego, twierdzi, że wcześniejsze wykorzystanie luki jest mało prawdopodobne. Błąd ten przez lata unikał kontroli światowej klasy kryptografów, jego odkrycie wymagało najnowocześniejszych narzędzi AI dostępnych tylko dla badaczy white-hat, a okno na naprawę było wąskie. Ale wyraźnie zaznaczyli: użytkownicy nie powinni polegać wyłącznie na ich ocenie.
Co dalej: Shielded Labs proponuje aktualizację sieci (Network Upgrade), która wdroży nową pulę prywatności i wymusi „rozliczanie z kontrolą przepływów” (turnstile accounting) na wszystkich monetach z puli Orchard. Spowodowałoby to w zasadzie zmuszenie każdej istniejącej monety Orchard do przejścia przez weryfikowalny punkt kontrolny, który ujawniłby każdą sfałszowaną podaż. Wymaga to szerokiego wsparcia ze strony zarządzania społeczności i standardowego procesu aktualizacji sieci Zcash. Szczegółowa propozycja spodziewana jest w przyszłym tygodniu. Shielded Labs formalnie inicjuje również projekt matematycznej weryfikacji całego obwodu Orchard od podstaw oraz zatrudnia Dyrektora ds. Bezpieczeństwa i Kryptografa.
Dlaczego to ma znaczenie poza Zcash: Jest to najjaśniejsza jak dotąd demonstracja w świecie rzeczywistym, co najbardziej zaawansowany model AI firmy Anthropic potrafi zrobić w rękach doświadczonego badacza bezpieczeństwa. Hornby użył Opus 4.8, udostępnionego publicznie 28 maja, i w ciągu 24 godzin od jego wydania znalazł czteroletni krytyczny błąd, który przetrwał wiele rund eksperckiej ludzkiej weryfikacji.
A to był tylko Opus 4.8. Mythos nadchodzi wkrótce. A potem pojawią się jeszcze lepsze modele. Każdy protokół krypto musi mieć się na baczności – spróbuj zhakować/wykorzystać własny protokół z pomocą zatrudnionych hakerów Whitehat. Albo zaryzykuj i poczekaj, aż zrobią to za ciebie Blackhats.
Zegar tyka, a krótkoterminowy los szerszej przestrzeni krypto prawdopodobnie wisi na włosku.
Skarbiec Korporacyjny i ETF-y
Śledzenie Meme Coinów
