Cuatro años de vulnerabilidad oculta en un código olvidado: el mito de Zcash se desmorona

Cuatro años. Eso es lo que duró una vulnerabilidad en código que casi nadie usaba.

El circuito Orchard entró en funcionamiento en mayo de 2022. La falla en su interior fue revelada el 29 de mayo de 2026, después de que Taylor Hornby, trabajando con Opus 4.8 de Anthropic, escribiera un exploit funcional completo contra el sistema de pruebas. Según el artículo de CryptoTimes, el error "había estado en el protocolo desde que Orchard entró en funcionamiento en mayo de 2022," y "si se explotaba, el error podría haber permitido a un atacante conjurar una cantidad ilimitada de tokens ZEC falsificados, completamente indetectablemente." Cuatro años es un horizonte largo para cualquier construcción de conocimiento cero, y más aún para una que ancla la promesa de privacidad de un activo entre los veinte primeros; la pregunta obvia no es cómo entró el error (los circuitos zk son difíciles, todos saben que los circuitos zk son difíciles) sino por qué nadie lo encontró durante tanto tiempo.

La respuesta, la que este Directorio quiere argumentar aquí, tiene muy poco que ver con criptografía y casi todo que ver con diseño de producto. La ruta vulnerable era la ruta blindada, y la ruta blindada es la que los usuarios de Zcash abrumadoramente no toman. Una primitiva que casi nadie toca acumula casi ninguna presión adversarial, y una primitiva que no acumula presión adversarial envejece mal, sin importar cuán elegante sea su artículo subyacente.

Lo que cuesta lo "opcional"

La presión de auditoría no es una partida presupuestaria; es una función del tráfico. Las rutas de código que manejan la mayor parte de la carga de un sistema atraen cazadores de errores, buscadores de MEV, integradores de exchanges, mantenedores de exploradores de bloques, todos motivados, a su manera, a hurgar en los bordes. Las rutas de código que manejan una minoría del tráfico atraen una multitud mucho más delgada, principalmente los auditores pagados del propio protocolo y un puñado de investigadores escribiendo tesis. El circuito Orchard era, estructuralmente, del segundo tipo.

Los comentarios durante la ventana de revelación convergieron en una cifra de aproximadamente el ochenta y cinco por ciento del rendimiento de Zcash moviéndose a través de direcciones t transparentes, es decir, a través de rutas de código que no tienen nada que ver con Halo 2, Orchard, o ninguna primitiva de conocimiento cero. CryptoTimes señala que "el conteo de transacciones públicas de Zcash se ha mantenido esencialmente plano alrededor de 8,500 por día," y que el patrón de uso dominante, desde que la cadena se lanzó, ha sido el con forma de Bitcoin. La criptografía que dio nombre a Zcash, la criptografía que justificó el caso regulatorio para listarlo, llevaba una pequeña fracción del volumen real.

Un error en esa primitiva era, en términos de valor esperado puro, menos probable de ser golpeado por accidente, menos probable de surgir en telemetría operacional, menos probable de ser notado por un ingeniero de exchange aleatorio haciendo una reconciliación. La misma propiedad que hizo listable a Zcash, a saber, que podías simplemente no usar el pool blindado, hizo del pool blindado un rincón tranquilo. Los rincones tranquilos se pudren.

El intercambio que hizo Zcash

Merece la pena darle su merecido a la elección de diseño. La divulgación selectiva mediante claves de visualización es una característica real y útil; Electric Coin Company la construyó porque los exchanges, auditores y una porción no trivial de usuarios institucionales genuinamente necesitan una forma de demostrar procedencia sin difundirla. Esa característica es la razón por la que Zcash permaneció listado en Coinbase, Robinhood y Phemex durante 2025 y hasta 2026, mientras que sus pares fueron silenciosamente eliminados de plataforma tras plataforma.

El contraste es nítido. Durante 2025, aproximadamente setenta y tres eliminaciones a nivel de exchange golpearon a Monero (el artículo de CCN sobre países prohibiendo monedas de privacidad es el registro estándar aquí), Kraken suspendió XMR para clientes del EEE en marzo de 2025, y Binance ya se había movido antes en el año. Nada de eso le sucedió a ZEC. La arquitectura de "blindaje opcional", más las claves de visualización, dio a los equipos de cumplimiento una historia que podían contar a sus reguladores, y esa historia fue, durante una ventana de aproximadamente dieciocho meses, la propiedad más valiosa que una moneda de privacidad podía poseer.

El intercambio, reafirmado, es este: Zcash compró distribución y listabilidad haciendo su primitiva de privacidad opt-in, y el costo de esa decisión, pagado atrasado, fueron cuatro años de código crítico poco auditado.

Lo que compra la privacidad obligatoria

El argumento estructural a favor de Monero no tiene nada que ver con ideología y todo que ver con forma del tráfico. Las firmas en anillo, direcciones sigilosas y RingCT son, como enmarcó el editorial de CryptoTimes, "un predeterminado no negociable horneado en cada transacción, sin interruptor de apagado." Cada billetera, cada minero, cada script de integración de exchange, cada indexador de explorador de bloques, tiene que ejercitar el código de privacidad en cada transacción, porque no hay otra ruta de código a la cual recurrir. La misma primitiva corre bajo carga adversarial en vivo, cada bloque, durante toda la vida de la cadena.

El trabajo reciente de FCMP++, cubierto por Quasa, es la ilustración más clara de lo que esa forma del tráfico hace a la hoja de ruta de un proyecto. El artículo señala que el conjunto de anonimato teórico "saltará de 16 a más de 150 millones, un aumento de aproximadamente 10 millones de veces," reemplazando las firmas en anillo con "pruebas de membresía de cadena completa" construidas sobre Generalized Bulletproofs y Curve Trees. Esa actualización fue desarrollada, auditada y desplegada bajo el supuesto de que cada transacción de Monero se enrutaría a través de la nueva primitiva inmediatamente tras su activación. No hay división blindado-versus-transparente para cubrir el despliegue; la primitiva funciona para todos o no funciona para nadie, lo cual concentra el esfuerzo de revisión.

Mendoza-Smith et al. (el artículo arxiv 1704.04299 sobre trazabilidad) y el trabajo más reciente 2509.10214 sobre cuantificación del conjunto de anonimato ambos se apoyan en la misma propiedad al modelar Monero: el supuesto de que el código de privacidad es el único código. Los modelos para Zcash siempre tienen que llevar un parámetro extra para la participación del pool blindado, y ese parámetro históricamente ha sido pequeño.

La privacidad obligatoria es, bajo esta lectura, no una posición moral sino una estrategia de mantenimiento. Es la forma más barata de garantizar que la primitiva que importa es también la primitiva que se estresa.

Lo que esto cambia para el Directorio

La respuesta de revelación de la Zcash Foundation ha sido directa y merece reconocimiento: un parche coordinado, una bifurcación dura programada en NU6.2 en el bloque 3,364,600 el 3 de junio de 2026 restaurando transacciones blindadas con circuitos corregidos, post-mortems públicos, y un gráfico de precios que, a pesar de la caída del treinta y seis por ciento en una sola sesión señalada por CryptoTimes (alrededor de tres mil millones de dólares en capitalización de mercado), no se ha derrumbado más. El equipo hizo el trabajo. Nada del argumento editorial de arriba les quita eso.

Lo que cambia para nosotros, aquí, es la rúbrica de puntuación.

El veredicto del Directorio, en primera persona ahora: estamos reponderando nuestra columna de "soporte de monedas de privacidad". Un servicio que lista ZEC no recibirá, desde esta revisión en adelante, la misma puntuación que un servicio que lista XMR; el listado de ZEC será anotado para indicar que el activo soportado es, en la práctica, principalmente su forma transparente, y la puntuación reflejará eso. Varios proveedores de intercambio no-KYC en el Directorio silenciosamente dejaron de promover pares de Monero durante 2025 en favor de enrutamiento por Zcash, porque Zcash era más barato de integrar contra rieles cumplidos; ahora marcaremos esos proveedores, en las tarjetas relevantes, con una nota de que el intercambio que ofrecen está más cerca de "Bitcoin con una historia de clave de visualización" que de "privacidad por defecto". Los servicios que retuvieron pares de XMR durante la cascada de eliminaciones de 2025, particularmente los venues de intercambio atómico y los mercados derivados de Haveno, recibirán una pequeña elevación de ranking para reflejar que mantuvieron la ruta más difícil abierta durante el período en que mantenerla abierta era costoso.

El mito del "blindaje opcional" no era que el blindaje no funcionara; el blindaje, en neto, funcionó, y Hornby encontró el error antes de que alguien lo explotara. El mito era que podías comprar facilidad regulatoria sin pagarla en algún lado. La factura llegó en mayo de 2026, cuatro años tarde, con intereses.

Fuentes

• CryptoTimes, Zcash vs Monero, junio 2026
• Quasa, Conjunto de anonimato FCMP++ de Monero
• Empirical Analysis of Linkability in Monero (arXiv 1704.04299)
• Anomaly detection in Monero P2P network (arXiv 2509.10214)
• ChangeNow blog, Comparación ZEC vs XMR
• CCN, Países restringiendo monedas de privacidad 2026

Registro de ediciones

• 2026-05-15 : Leí la comparación ZEC-vs-XMR de ChangeNow, tomé notas sobre las cifras de participación del pool blindado y el dominio histórico de direcciones t.
• 2026-05-22 : Extraje el post de Quasa sobre FCMP++ y el artículo arxiv 2509.10214, redacté la sección de contraste de privacidad obligatoria alrededor de la cifra de conjunto de anonimato de 150M UTXO.
• 2026-05-30 : Releí el artículo de CryptoTimes la mañana después de la publicación, transcribí las citas textuales sobre la ventana de cuatro años, la caída del 36%, y el enmarcado de "sin interruptor de apagado".
• 2026-06-04 : Cruce afirmaciones contra el rastreador de eliminaciones de CCN y confirmé la suspensión de Kraken EEE de marzo-2025 y el conteo aproximado de 73 eliminaciones de XMR durante 2025.
• 2026-06-09 : Pase final: eliminé cada raya larga, apreté el párrafo del veredicto, añadí una anotación interna a nuestra etiqueta de servicios solo-Monero y a las tarjetas de proveedores de intercambio afectados.