Fantasma de quatro anos no Orchard: o número que abalou a Zcash numa tarde

Um fantasma de quatro anos no Orchard, e o número que quebrou a Zcash em uma única tarde

Em 3 de junho de 2026, a Zcash Foundation confirmou o que um pequeno círculo de criptógrafos vinha silenciosamente corrigindo há cinco dias: o pool blindado Orchard, peça central criptográfica da pilha de privacidade da Zcash desde a ativação da NU5 em maio de 2022, estava silenciosamente explorável por quase exatamente quatro anos. O bug permitia a cunhagem de ZEC falsificados indetectáveis, e quando a divulgação se tornou pública, o mercado já tinha feito as contas, derrubando o ZEC mais de 36% numa única sessão e apagando cerca de três mil milhões de dólares de capitalização de mercado em vinte e quatro horas, um valor reportado pela CryptoTimes e corroborado por dados de volume das exchanges que circulavam nessa noite. O detalhe que transformou um bug de consenso rotineiro numa história geracional é quem o encontrou, e como: Taylor Hornby, trabalhando sozinho, usando o Claude Opus 4.8 da Anthropic (lançado no dia anterior, 28 de maio) dentro de um harness de auditoria com IA que construíu especificamente para percorrer o sistema de provas Halo 2 linha a linha.

Mecanismo: uma verificação de curva elíptica que disse sim silenciosamente por quatro anos

A vulnerabilidade, conforme descrita na divulgação coordenada, foi "uma falha numa verificação de multiplicação de curva elíptica que podia ser acionada para fazer a rede aceitar transações que deveria ter rejeitado." Na prática, isto significava que uma prova malformada, construída com uma relação escalar específica que o circuito Orchard falhou em restringir, passaria na verificação na camada de consenso; a rede, noutras palavras, estava a tratar uma restrição não satisfeita como satisfeita para uma classe estreita, mas devastadora, de entradas. O método de auditoria de Hornby, que começou a documentar aos poucos no seu blog e em canais sociais, alimentou o sistema de restrições do circuito Orchard no Claude Opus 4.8 em passos fragmentados, pedindo ao modelo para enumerar cada invariante algébrica que os vetores de teste escritos por humanos não exercitavam, e depois tentar construir testemunhos que violassem cada invariante candidato; o modelo produziu, nas suas próprias palavras, "um exploit completo e funcional" contra uma rede de teste local, capaz de gerar ZEC do nada sem deixar qualquer rastro on-chain distinguível de um gasto blindado normal. A parte interessante da história, e a parte que deve deixar todo o engenheiro de conhecimento zero desconfortável, é que o bug estava em produção desde a ativação da NU5 em maio de 2022, sobrevivendo à auditoria original de Sean Bowe, à revisão comunitária do Halo 2, e a quatro anos de atenção académica às curvas Pasta, porque o caminho específico de multiplicação escalar de que dependia nunca foi alcançado por nenhuma transação honesta e nunca foi documentado como um caso de teste.

Postura de privacidade: blindagem opcional é auditoria opcional

A escolha de design da Zcash de tornar a blindagem opcional, mantida desde o artigo original Zerocash em todas as atualizações de rede, sempre foi o fosso regulatório do projeto; é como o ZEC permaneceu listado na Coinbase, Robinhood e Phemex enquanto o Monero era removido nos mesmos locais. Essa mesma escolha, como o pós-mortem agora deixa desconfortavelmente claro, é o que deixou o primitivo Orchard criticamente subexercitado, porque medições independentes há anos colocam o throughput blindado em cerca de 15% da atividade total da rede, com o restante a fluir por endereços transparentes indistinguíveis do modelo UTXO do Bitcoin. Um primitivo criptográfico que menos de um em cada seis utilizadores realmente toca acumula menos sondagens adversariais, menos transações acidentais de casos extremos, e menos olhos nos seus circuitos de prova, que é precisamente o ambiente em que uma restrição ausente pode esconder-se por quatro anos. O contraste estrutural com o Monero, que tem sido argumentado extensivamente na literatura de Tecnologias de Melhoria de Privacidade (veja a análise fundacional de assinaturas em anel no arXiv e o trabalho mais recente na camada P2P sobre deteção de anomalias), é que o Monero "não pode desabilitar seletivamente a porção privada de si mesmo, porque não há uma porção privada separada para desabilitar"; toda a transação é blindada, toda a transação exercita o núcleo criptográfico, e a atualização FCMP++ recentemente ativada, documentada pela Quasa, estende o conjunto de anonimato por toda a cadeia histórica em vez de um subconjunto opt-in.

Sinais de confiança: a queda de 36%, a saída de Hayes, o apagão de 85%

A reação do mercado foi inequívoca, e foi liderada por traders que leram a divulgação cuidadosamente. O ZEC caiu mais de 36% numa única sessão, com cerca de três mil milhões de dólares de capitalização a evaporar dentro da janela de divulgação; Arthur Hayes, que havia sido um dos detentores institucionais de ZEC mais visíveis durante o renascimento das moedas de privacidade no final de 2025, vendeu toda a sua posição dentro de horas da publicação da Foundation, um movimento que confirmou nos seus próprios canais e que foi amplamente reportado na imprensa secundária. A queda operacional foi igualmente nítida, com mais de 85% da atividade blindada da Zcash a ficar inativa durante a transição do soft-fork, porque carteiras, exchanges e custodiantes que haviam integrado o verificador Orchard pré-patch não podiam processar entradas blindadas com segurança até migrarem para o Zebra 5.0.0. O argumento de listabilidade, que havia sido o ponto político central da indústria de moedas de privacidade desde 2023, agora lê-se de forma diferente: uma moeda pode ser listável precisamente porque a sua privacidade é opcional, e a sua privacidade pode ser silenciosamente quebrada precisamente porque é opcional.

Especificidades: a linha do tempo, os blocos, as versões

A sequência, extraída da divulgação coordenada da Foundation e das notas de release do Zebra, é a seguinte:

• 2022-05: NU5 é ativada, implantando o pool blindado Orchard com a verificação de multiplicação de curva elíptica falha em produção.
• 2026-05-28 : Anthropic lança o Claude Opus 4.8.
• 2026-05-29 : O harness de auditoria com IA de Taylor Hornby, executando o Opus 4.8 contra o circuito Orchard, produz um exploit funcional de ZEC falsificado numa testnet local; a divulgação privada à Zcash Foundation segue dentro de horas.
• 2026-06-02 : Soft fork é lançado no Zebra 4.5.3, desabilitando transações Orchard blindadas em toda a rede como medida de emergência.
• 2026-06-03 : Hard fork NU6.2 é ativado no bloco 3.364.600 via Zebra 5.0.0, restaurando a funcionalidade blindada com circuitos de prova corrigidos; a Foundation publica a divulgação pública no mesmo dia.

A janela de dormência, calculada da ativação da NU5 até ao exploit de Hornby, situa-se em cerca de quatro anos e dezassete dias, durante os quais qualquer parte suficientemente motivada com a mesma literacia criptográfica podia, em princípio, ter cunhado ZEC indetetavelmente.

O que isto muda para o Diretório

A nossa posição editorial, que temos refinado desde que os rumores de final de maio surgiram, agora é explícita. Continuaremos a listar serviços no-KYC que aceitam ZEC onde existirem, porque o protocolo pós-NU6.2 é, ao melhor do conhecimento público, sólido, e porque utilizadores que detêm ZEC merecem locais para movê-lo sem captura de identidade. Não trataremos mais o ZEC como criptograficamente equivalente ao XMR nas nossas tabelas de comparação, e marcaremos serviços exclusivos de Monero com um sinal editorial positivo em vez de um neutro, porque a lição do bug Orchard não é que os engenheiros da Zcash foram descuidados, pois não foram, mas que uma camada de privacidade opcional é uma camada de privacidade estruturalmente subauditada, e que uma garantia criptográfica usada por 15% do tráfego de uma rede não merece a mesma confiança que uma usada por 100% dele. A tag interna de serviços exclusivos de Monero do diretório, que antes funcionava como um filtro, agora funcionará como uma recomendação.

Fontes

• Zcash vs Monero: The 2026 Privacy Coin War Just Got Decided in One Week (CryptoTimes)
• An Empirical Analysis of Linkability in the Monero Blockchain (arXiv 1704.04299)
• Monero's Privacy Revolution: FCMP++ and the Largest Anonymity Set in Crypto History (Quasa)
• Detecting Anomalies in the Monero P2P Network (arXiv 2509.10214)

Registo de edições

• 2026-05-04 : Primeira leitura do relatório trimestral de transparência da Shielded Labs, sinalizei a taxa de throughput blindado persistentemente baixa como um ângulo editorial futuro.
• 2026-05-19 : Extraídos seis meses de dados de volume blindado vs. transparente da Zcash dos exploradores públicos, confirmei a cifra de ~15% independentemente dos dashboards da Electric Coin Co.
• 2026-05-29 : Ouvi o primeiro rumor privado de um bug da classe Orchard através de um contacto investigador, recusei publicar antes da divulgação coordenada, abri um documento de espera.
• 2026-05-31 : Verifiquei a descrição preliminar do exploit de Hornby contra a literatura do arXiv sobre circuitos estilo PLONK subrestritos, tomei notas sobre a invariante de multiplicação escalar ausente.
• 2026-06-01 : Esbocei a abertura e a secção Mecanismo, reescrevi ambas três vezes para remover travessões herdados das citações-fonte, normalizei todas as datas para formato ISO, adicionei o plano de link interno à nossa tag de serviços exclusivos de Monero.