Zcash đã vá một lỗ hổng nghiêm trọng có thể cho phép những kẻ xấu rút cạn tiền từ nhóm che chắn Sprout đã ngừng sử dụng của giao thức.
Một báo cáo tiết lộ từ nhà nghiên cứu bảo mật Alex “Scalar” Sol, được công bố vào thứ Ba, cho biết một lỗi nghiêm trọng đã được phát hiện trong các node zcashd, dẫn đến việc bỏ qua xác minh bằng chứng cho các giao dịch liên quan đến nhóm Sprout cũ.
Nhóm Sprout của Zcash là "nhóm che chắn" (shielded pool) ban đầu được ra mắt cùng với mạng lưới vào năm 2016. Đây là lần triển khai đầu tiên các bằng chứng không tiết lộ (zk-SNARKs) trong một loại tiền điện tử đang hoạt động, cho phép người dùng gửi và nhận ZEC một cách riêng tư.
Mặc dù nhóm này đã ngừng nhận tiền gửi mới vào tháng 11 năm 2020, nhưng nó vẫn nắm giữ khoảng 25.424 ZEC, số tiền này vẫn chưa được di chuyển sang các phiên bản nhóm che chắn mới hơn.
Theo báo cáo tiết lộ, lỗ hổng này ảnh hưởng đến các bản phát hành từ tháng 7 năm 2020 trở đi nhưng đã được khắc phục thông qua phiên bản v6.12.0, được phát hành vào thứ Ba. Cho đến nay, lỗi này chưa bị khai thác và tiền của người dùng vẫn an toàn.
Các nhóm đào lớn, bao gồm Luxor, F2Pool, ViaBTC và AntPool, đã triển khai bản vá lỗi vào ngày 26 tháng 3, báo cáo cho biết thêm.
Báo cáo nói thêm rằng việc triển khai node đầy đủ Zebra không bị ảnh hưởng. Trong trường hợp có nỗ lực khai thác, nó sẽ dẫn đến một phân nhánh chuỗi, đóng vai trò như một biện pháp bảo vệ bổ sung.
Mặc dù mức độ nghiêm trọng của vấn đề, Nhóm Phát triển Mở Zcash đã làm rõ rằng cơ chế "cửa quay" của mạng lưới, vốn đảm bảo rằng bất kỳ đồng tiền nào thoát khỏi nhóm Sprout đều phải được đưa vào trước đó, sẽ ngăn chặn lạm phát nguồn cung rộng hơn.
Đối với mạng Zcash, đây là lần thứ hai một lỗ hổng nghiêm trọng, mang tính hệ thống được phát hiện trong các nhóm che chắn của nó. Vào năm 2019, nhóm Zcash đã tiết lộ một lỗi "làm giả tiền" (counterfeiting bug), một lỗi trong mật mã cơ bản có thể cho phép kẻ tấn công tạo ra một lượng ZEC vô hạn mà không bị phát hiện.
