Zcash tiếp tục đà bán tháo gần đây, vượt mốc 50% vào thứ Sáu, xuống khoảng 310 USD khi một lỗ hổng nghiêm trọng liên quan đến việc tạo tiền giả được tiết lộ vào đầu tuần này tiếp tục đè nặng lên tâm lý thị trường.
ZEC có lúc đã giảm tới 60%, từ khoảng 630 USD vào thứ Năm xuống mức thấp nhất khoảng 250 USD vào thứ Sáu, trước khi phục hồi một phần, trong khi các khoản thanh lý vượt quá 116 triệu USD — đứng thứ ba trong số các loại tiền điện tử trong 24 giờ qua, chỉ sau bitcoin và ether — theo CoinGlass.
Đáng chú ý, số liệu của CoinGlass chỉ phản ánh một phần bức tranh. Dữ liệu thanh lý thường bị phân tán và được biết là không báo cáo đầy đủ, nghĩa là khối lượng đóng vị thế bắt buộc thực tế có thể cao hơn.
Dữ liệu thanh lý của Zcash cho thấy gần 72 triệu USD các vị thế long và hơn 45 triệu USD các vị thế short đã bị thanh lý trong khoảng thời gian 24 giờ, với khối lượng cao nhất từ 8 giờ sáng đến 9 giờ sáng UTC ngày 5 tháng 6. CoinGlass đánh giá cường độ thanh lý của phiên giao dịch này cao gấp 3.72 lần so với mức trung bình bảy ngày.
Thông báo được đưa ra bởi Zooko Wilcox, đồng sáng lập Zcash và trưởng bộ phận Shielded Labs, cùng với các nhà nghiên cứu Jason McGee và Taylor Hornby, những người đã xác nhận lỗ hổng này tồn tại trong mạch bằng chứng không kiến thức (zero-knowledge proof circuit) Orchard của Zcash kể từ khi nó được kích hoạt vào tháng 5 năm 2022. The Block trước đây đã đưa tin về việc phát hiện ban đầu và sự sụt giảm giá.
Lỗ hổng này, bắt nguồn từ một phần tử bị ràng buộc không đủ của thiết bị nhân vô hướng cơ sở biến đổi (variable-base scalar multiplication gadget) của mạch Orchard, sẽ cho phép một tác nhân độc hại chi tiêu cùng một ghi chú được bảo vệ (shielded note) nhiều lần bằng cách tiết lộ một nullifier duy nhất với mỗi lần chi tiêu — tạo ra ZEC giả mạo không giới hạn và không thể phát hiện được trong nhóm Orchard.
Hornby đã phát hiện ra lỗi vào ngày 29 tháng 5, vài giờ sau khi Anthropic phát hành mô hình Claude Opus 4.8 của mình.
Sử dụng một khung kiểm toán tùy chỉnh hỗ trợ AI mà anh gọi là zcash-full-stack-auditor, Hornby đã thực hiện một cuộc đánh giá mục tiêu đối với mạch Orchard.
Một tác nhân kiểm toán đã báo cáo lỗ hổng nghiêm trọng này vào khoảng 6 giờ tối MDT. Đến 11:53 tối, Hornby đã gửi một bằng chứng về khái niệm (proof-of-concept) và một báo cáo đầy đủ cho Zcash Open Development Lab qua Signal. Đến tối thứ Hai tuần sau, một bản vá soft fork đã được triển khai trên mạng chính (mainnet). Một bản nâng cấp mạng đầy đủ, NU6.2, đã kích hoạt lại Orchard tại khối 3,364,600 vào ngày 2 tháng 6 với mạch đã được sửa lỗi.
Khoảng thời gian lỗ hổng tồn tại kéo dài từ khi Orchard được kích hoạt vào ngày 31 tháng 5 năm 2022, cho đến khi soft fork được thực hiện vào ngày 1 tháng 6 năm 2026 — tổng cộng bốn năm, một ngày và mười giờ. Từ thời điểm Opus 4.8 được phát hành công khai đến khi bản vá được kích hoạt, khoảng thời gian này là bốn ngày và khoảng mười giờ.
Điều làm cho thông báo này trở nên đặc biệt gay gắt là những gì bản vá không thể giải quyết.
Kiến trúc bảo mật của Zcash khiến việc xác minh bằng mật mã liệu lỗ hổng có bị khai thác trước khi khắc phục hay không là điều không thể. Wilcox và các đồng tác giả của ông đã thẳng thắn về vấn đề này.
"Không có cách nào để chứng minh bằng mật mã liệu lỗ hổng đã bị khai thác trước khi được khắc phục hay không," thông báo nêu rõ. "Chúng tôi tin rằng điều quan trọng là phải minh bạch về sự không chắc chắn đó."
Sự không chắc chắn đó có thể đã dẫn đến việc Arthur Hayes kết thúc vị thế của mình. Đồng sáng lập BitMEX và CIO của Maelstrom đã đăng tải trong tuần này rằng ông đã bán toàn bộ số ZEC của mình và của Maelstrom.
"Bộ ba thần thánh đã chết," Hayes viết. "Mặc dù tôi nghĩ rằng việc tạo ra bất kỳ đồng tiền nào là cực kỳ khó xảy ra, nhưng điều đó không thể được chứng minh một cách chính thức bằng mật mã là không thể. Câu chuyện về quyền riêng tư trước AI, chính phủ, các tập đoàn công nghệ lớn đòi hỏi sự hoàn hảo chứ không phải sự khó có thể xảy ra." Hayes cho biết ông vẫn sẵn sàng tái gia nhập nếu các giả định của ông thay đổi.
Shielded Labs và một số người ủng hộ nổi bật đã phản đối cách đọc bi quan nhất về thông báo này.
Craig Salm, CLO của Grayscale, lập luận rằng để tin rằng lỗ hổng đã thực sự bị kích hoạt, ai đó sẽ phải xem xét mã nguồn Zcash kỹ lưỡng hơn tất cả các nhà phát triển tại ECC, ZODL, Shielded Labs và Zcash Foundation cộng lại — và sau đó đã chọn không rút cạn turnstile của nhóm Orchard trong một đợt tăng giá hơn 20 lần. "Điều đó có vẻ khó xảy ra đối với tôi," Salm nói trên X.
Cameron Winklevoss, đồng sáng lập sàn giao dịch tiền điện tử Gemini, đã đưa ra một lập luận tương tự. "Khi nói đến bất kỳ L1 nào, sẽ có lỗi," Winklevoss tuyên bố. "Điều quan trọng là có những nhà nghiên cứu đẳng cấp thế giới tập trung vào việc củng cố mạng lưới và đi trước những kẻ xấu." Ông gọi việc phát hiện và khắc phục nhanh chóng là "một phiếu tín nhiệm, chứ không phải là một lý do để báo động."
Taylor Monahan, nhà nghiên cứu bảo mật của MetaMask, đã đặt thông báo này vào một bối cảnh rộng hơn. "Bài học rút ra là những mô hình này CÓ THỂ VÀ SẼ phát hiện ra những lỗ hổng tồi tệ nhất đã tồn tại trong sản phẩm mà không bị phát hiện trong nhiều năm," Monahan nói, lập luận rằng mối quan hệ của Zcash với các nhà nghiên cứu bảo mật từ lâu đã là một yếu tố khác biệt.
Nhật ký công việc của Hornby — được công bố cùng với thông báo — ghi nhận rằng Opus 4.8 đặc biệt hoài nghi về phát hiện của chính nó, ban đầu cho rằng mã nguồn gốc đã được kiểm toán và do đó phải đúng. Nó cần được thúc đẩy trước khi xem xét vấn đề một cách nghiêm túc.
Các cuộc kiểm toán trước đây sử dụng Claude Opus 4.7, với nỗ lực cao, đã không phát hiện ra lỗi khi được đưa ra một yêu cầu chung chung. Trong khi đó, Opus 4.8 chỉ tìm thấy nó trong một trong bốn lần chạy thử khi được yêu cầu rộng rãi, trong khi nó được tìm thấy một cách đáng tin cậy khi yêu cầu được nhắm mục tiêu cụ thể vào thiết bị chuyên dụng đó.
Shielded Labs cho biết họ đang nghiên cứu một bản nâng cấp mạng sẽ triển khai một nhóm ẩn danh (shielded pool) mới và áp dụng hệ thống kế toán turnstile cho tất cả các đồng tiền di chuyển từ Orchard — một cơ chế cho phép bất kỳ ai xác minh tính toàn vẹn của nguồn cung Zcash và chứng minh không có ZEC giả mạo.
Đề xuất này sẽ cần sự chấp thuận từ quản trị cộng đồng. Một bài đăng tiếp theo với đầy đủ chi tiết kỹ thuật dự kiến sẽ ra mắt vào tuần tới. Công ty cũng chính thức khởi động một dự án để xác minh mạch Orchard bằng toán học và đã mở các vị trí tìm kiếm Trưởng phòng Bảo mật và Nhà mật mã học.
Josh Swihart, người sáng lập ZODL, cho biết câu hỏi quan trọng hơn không phải là liệu một nhóm Orchard thứ hai có được xây dựng hay không, mà là làm thế nào giao thức đảm bảo các lỗ hổng không bao giờ tái diễn. Câu trả lời của ông là xác minh hình thức (formal verification).
"Một quy tắc lỏng lẻo có thể khó phát hiện," Swihart viết trong một bài đăng chi tiết trên X. "Trong trường hợp gần đây này, quy tắc lỏng lẻo đã không bị phát hiện mặc dù có nhiều cuộc kiểm toán và đánh giá bảo mật cấp chuyên gia." Ông lập luận rằng xác minh hình thức thay thế việc xem xét của con người bằng một bằng chứng toán học kiểm tra toàn bộ mạch chống lại một đặc tả ngắn gọn, dễ đọc — một thứ mà máy tính không thể bị đánh lừa.
Swihart cho biết một nhóm Orchard thứ hai về nguyên tắc có thể được nhắm mục tiêu cho NU7 vào cuối tháng 7, và một mạch Orchard được xác minh hình thức, nếu hoàn thành, có thể đóng vai trò là bước trung gian tốt nhất trước Tachyon — hệ thống chứng minh thế hệ tiếp theo của Zcash, đang được xây dựng với xác minh hình thức ngay từ đầu.
Tuyên bố từ chối trách nhiệm: The Block là một cơ quan truyền thông độc lập cung cấp tin tức, nghiên cứu và dữ liệu. Tính đến tháng 11 năm 2023, Foresight Ventures là nhà đầu tư đa số của The Block. Foresight Ventures đầu tư vào các công ty khác trong không gian tiền điện tử. Sàn giao dịch tiền điện tử Bitget là đối tác LP chính của Foresight Ventures. The Block tiếp tục hoạt động độc lập để cung cấp thông tin khách quan, có tác động và kịp thời về ngành công nghiệp tiền điện tử. Dưới đây là các tiết lộ tài chính hiện tại của chúng tôi.
© 2026 The Block. Mọi quyền được bảo lưu. Bài viết này chỉ được cung cấp cho mục đích thông tin. Nó không được đưa ra hoặc có ý định sử dụng làm lời khuyên pháp lý, thuế, đầu tư, tài chính hoặc các lời khuyên khác.
