اقترحت مؤسسة Shielded Labs ترقية جديدة لشبكة عملة Zcash الخصوصية، تتيح لأي شخص التحقق من أن إمداد العملة لم يتم تضخيمه بشكل سري، بعد الكشف عن ثغرة برمجية تم إصلاحها مؤخراً في المجمع المحمي الرئيسي للشبكة، كانت يمكن أن تسمح بتزوير غير قابل للاكتشاف لعملة ZEC.
قالت Shielded Labs، وهي منظمة غير ربحية تمول تطوير عملة Zcash (التي تحتل المرتبة 11 تقريباً من حيث القيمة السوقية)، في منشور مدونة إن الثغرة ظلت مخفية في مجمع Orchard منذ إطلاقه في مايو 2022 حتى أغلقه المهندسون هذا الأسبوع.
وبحسب بيانات CoinGecko، انخفض سعر ZEC بنسبة 16% خلال الأيام السبعة الماضية، وبنسبة 25% خلال الـ 24 ساعة الأخيرة، بعد الكشف عن الثغرة، مما محى مكاسب الأسبوع.
يحتوي مجمع Orchard، وهو أحدث وأكبر مجمع محمي لـ Zcash، على أكثر من 4 ملايين عملة ZEC، وهي الجزء الأكبر من حوالي 30% من الإمداد الكلي الموجود في المجمعات الخاصة، وفقاً لمتابعي الإمداد المحمي.
تسلط الحادثة الضوء على مقايضة أساسية في العملات الخصوصية. نفس التشفير الذي يخفي الأرصدة يجعل من المستحيل إثبات من السلسلة وحدها ما إذا تم استغلال الثغرة. قالت Shielded Labs إنه لا توجد طريقة تشفيرية لتحديد ما إذا كان أي شخص قد استغل الثغرة قبل الإصلاح، على الرغم من أنها ترى أن الاستغلال المسبق غير محتمل.
كيف تم اكتشاف الثغرة
عثر باحث الأمن المستقل تايلور هورنبي على الثغرة في 29 مايو أثناء تدقيق طلبته Shielded Labs، وأبلغ عنها في نفس المساء لمهندسي مختبر Zcash المفتوح للتطوير (ZODL)، المجموعة التي تحافظ على البروتوكول.
قالت Shielded Labs إن هورنبي استخدم نموذج Opus 4.8 من شركة Anthropic (الذي صدر في 28 مايو) إلى جانب أداة ذكاء اصطناعي مخصصة، لكتابة استغلال عملي أنتج عملات ZEC مقلدة غير محدودة في بيئة اختبار محلية. وأضافت أنه إذا تم تشغيل نفس الأداة على الشبكة الرئيسية، لكانت أنتجت عملات مقلدة غير محدودة وغير قابلة للاكتشاف.
كانت المشكلة عبارة عن ثغرة “سلامة”، بمعنى أنه يمكن جعل الشبكة تقبل معاملة كان يجب أن ترفضها. نشأت الثغرة من جزء غير مقيد بشكل كافٍ في دائرة Orchard، مما سمح للمهاجم بإدخال مدخلات خاطئة من خلال فحص منحنى بيضاوي، ومع ذلك ينجح الفحص، وفقاً لـ Shielded Labs.
وصفت Shielded Labs التأثير بأنه القدرة على إنشاء عملات ZEC مقلدة غير محدودة وغير قابلة للاكتشاف داخل Orchard.
الإمداد الكلي لم يتأثر
وصفت مؤسسة Zcash (التي تبني برنامج Zebra المستخدم لتشغيل الشبكة) الخطر في منشور نُشر يوم الأربعاء. قالت إن الاستغلال كان يمكن أن يسمح بالإنفاق المزدوج داخل Orchard، لكنه لم يستطع تضخيم إمداد ZEC الكلي، وهو محدود بمحاسبة “الباب الدوار” للشبكة. يحد الباب الدوار من مقدار القيمة التي يمكن أن تخرج من كل مجمع إلى المقدار الذي دخل إليه.
قالت المؤسسة إن الباب الدوار أكد أن الإمداد الكلي ظل سليماً، وأنه لا يوجد دليل على إنشاء قيمة غير مصرح به. تتفق المجموعتان على أن الثغرة تم اكتشافها قبل أي استغلال معروف، وأن خصوصية المستخدم لم تتأثر.
كيف تم تطبيق الإصلاح
بعد تنسيق خاص مع عمال التعدين والبورصات بدأ في 31 مايو، أرسل المهندسون “شوكة ناعمة” طارئة عطلت معاملات Orchard. تم تفعيلها في 2 يونيو عند الكتلة رقم 3,363,426. ثم قامت ترقية “شوكة صلبة” تسمى NU6.2 بإعادة تفعيل Orchard بدائرة مصححة في 3 يونيو عند الكتلة رقم 3,364,600، حسب المؤسسة. وأشارت إلى أن هذا الاستجابة كانت ثاني ترقية أمنية في تاريخ Zcash منذ إطلاق الشبكة في 2016. الإصلاح موثق في استشارة أمنية لـ Zebra.
تم تجميد تحويلات Orchard خلال تلك الفترة، بينما استمرت معاملات Sapling والمعاملات الشفافة في العمل. أظهرت بعض مستكشفات الكتل عدم ظهور كتل جديدة لفترة وجيزة، مما أثار ارتباكاً بأن الشبكة توقفت.
الترقية المقترحة
قالت Shielded Labs إن ترقية NU6.2 تغلق الثغرة، لكنها لا تثبت أن إمداد Orchard لم يتم العبث به مطلقاً. مقترحها سينشر مجمعاً محمياً جديداً ويوجه جميع العملات الخارجة من Orchard من خلال محاسبة الباب الدوار، مما يسمح لأي شخص بالتحقق من عدم وجود عملات ZEC مقلدة.
مثل أي ترقية كبيرة، ستحتاج إلى دعم المجتمع وسيتعين عليها اجتياز عملية حوكمة Zcash قبل التفعيل. قالت Shielded Labs إنها تخطط لنشر التفاصيل الأسبوع القادم.
الاستجابة المنسقة أثارت انتقادات. جادل بعض المطورين والمعلقين بأن الإصلاح السري، الذي اعتمد على مجموعة صغيرة من المهندسين وعمال التعدين والبورصات، أظهر كيف يمكن أن تكون استجابة الشبكة الطارئة مركزية، وتساءلوا عما إذا كان يمكن تدقيق المجمعات المحمية بالكامل.
أسئلة شائعة
- س: هل تم استغلال الثغرة فعلياً لتزوير عملات ZEC؟
ج: لا، لا يوجد دليل على استغلال الثغرة قبل إصلاحها. أكدت مؤسسة Zcash أن إمداد العملة الكلي ظل سليماً، وتعتقد Shielded Labs أن الاستغلال المسبق غير محتمل، لكن لا توجد طريقة تشفيرية لتأكيد ذلك بنسبة 100%. - س: ما هو الاختلاف بين الترقية العاجلة (NU6.2) والترقية المقترحة الجديدة؟
ج: الترقية العاجلة (NU6.2) أصلحت الثغرة وأعادت تشغيل مجمع Orchard بشكل آمن. أما الترقية الجديدة المقترحة من Shielded Labs فتهدف إلى إنشاء مجمع محمي جديد ونظام محاسبة يسمح لأي شخص بالتحقق من أن إمداد العملة لم يتم التلاعب به، لمنع أي ثغرات مستقبلية. - س: كيف تأثرت شبكة Zcash خلال فترة الإصلاح؟
ج: تم تجميد تحويلات مجمع Orchard لفترة قصيرة، بينما استمرت المعاملات الأخرى (Sapling والشفافة) في العمل بشكل طبيعي. بعض مستكشفات الكتل أظهرت تأخراً مؤقتاً، لكن الشبكة لم تتوقف تماماً، ولم تتأثر أموال المستخدمين أو خصوصيتهم.
