Призрак четырёхлетней давности в Orchard: как одно число обрушило Zcash за день

Четырёхлетнее привидение в Orchard, и число, которое сломало Zcash за один день

3 июня 2026 года Zcash Foundation подтвердила то, что небольшой круг криптографов тихо патчил уже пять дней: защищённый пул Orchard, криптографическое ядро стека приватности Zcash с момента активации NU5 в мае 2022 года, оставался эксплуатируемым почти ровно четыре года. Баг позволял чеканить необнаружимые фальшивые ZEC, и к моменту публичного раскрытия рынок уже сделал выводы, обрушив ZEC более чем на 36% за одну сессию и стерев примерно три миллиарда долларов капитализации за двадцать четыре часа, цифру, которую привёл CryptoTimes и которую подтвердили биржевые данные об объёмах, циркулировавшие в тот вечер. Деталь, превратившая рутинный баг консенсуса в историю поколения, кто его нашёл и как: Тейлор Хорнби, работая в одиночку, используя Anthropic's Claude Opus 4.8 (выпущенный накануне, 28 мая) внутри специального AI-аудиторского окружения, которое он построил для построчного прохождения системы доказательств Halo 2.

Механизм: проверка эллиптических кривых, которая тихо говорила «да» четыре года

Уязвимость, как описано в скоординированном раскрытии, была «ошибкой в проверке умножения на эллиптической кривой, которую можно было вызвать, чтобы заставить сеть принимать транзакции, которые она должна была отклонить». На практике это означало, что malformed proof, сконструированный с определённым скалярным соотношением, которое схема Orchard не ограничивала, проходил верификацию на уровне консенсуса; иначе говоря, сеть трактовала невыполненное ограничение как выполненное для узкого, но разрушительного класса входных данных. Метод аудита Хорнби, который он начал документировать частями в своём блоге и социальных каналах, подавал схему ограничений Orchard в Claude Opus 4.8 по частям, прося модель перечислить каждый алгебраический инвариант, который не покрывался человеческими тестовыми векторами, затем попытаться сконструировать witness'ы, нарушающие каждый кандидат-инвариант; модель выдала, по его собственной формулировке, «полноценный, работающий эксплойт» против локальной тестовой сети, способный генерировать ZEC из воздуха, не оставляя ончейн-следа, отличимого от обычного shielded spend. Интересная часть истории, и та, которая должна заставить неспокойно себя чувствовать каждого zero-knowledge инженера, в том, что баг сидел в продакшене с момента активации NU5 в мае 2022 года, пережив оригинальный аудит Шона Боу, обзор сообщества Halo 2 и четыре года академического внимания к кривым Pasta, потому что конкретный путь скалярного умножения, от которого он зависел, никогда не достигался ни одной честной транзакцией и никогда не был записан как тестовый случай.

Позиция приватности: опциональное shielding, опциональный аудит

Выбор дизайна Zcash сделать shielding опциональным, унаследованный от оригинальной статьи Zerocash через каждое обновление сети, всегда был регуляторным рвом проекта; именно так ZEC оставался на Coinbase, Robinhood и Phemex, пока Monero удаляли с тех же площадок. Тот же выбор, как теперь неудобно ясно показывает посмертный анализ, оставил примитив Orchard критически недоэксплуатированным, потому что независимые измерения годами показывали shielded throughput на уровне примерно 15% от общей сетевой активности, а остаток шёл через прозрачные адреса, неотличимые от модели UTXO Bitcoin. Криптографический примитив, к которому прикасается менее одного из шести пользователей, накапливает меньше состязательных проб, меньше случайных edge-case транзакций и меньше глаз на его proof-схемах, именно та среда, в которой пропущенное ограничение может прятаться четыре года. Структурный контраст с Monero, который подробно рассматривается в литературе по Privacy Enhancing Technologies (см. фундаментальный анализ ring-signature на arXiv и более свежую работу по P2P-уровню об anomaly detection), в том, что Monero «не может избирательно отключить свою приватную часть, потому что нет отдельной приватной части, которую можно отключить»; каждая транзакция shielded, каждая транзакция эксплуатирует криптографическое ядро, и недавно активированный апгрейд FCMP++, документированный Quasa, расширяет anonymity set на всю историческую цепочку, а не на opt-in подмножество.

Сигналы доверия: падение на 36%, уход Хейеса, 85% блэкаут

Реакция рынка была однозначной, и её возглавили трейдеры, внимательно прочитавшие раскрытие. ZEC упал более чем на 36% за одну сессию, примерно три миллиарда долларов капитализации испарились внутри окна раскрытия; Артур Хейес, который был одним из наиболее заметных институциональных держателей ZEC во время поздневосстановления privacy-coin в 2025 году, продал всю свою позицию в течение нескольких часов после поста Foundation, шаг, который он подтвердил в своих каналах и который широко освещался вторичной прессой. Операционные последствия были столь же резкими: более 85% shielded-активности Zcash погасло во время софт-форк перехода, потому что кошельки, биржи и кастодианы, интегрировавшие пре-патчный верификатор Orchard, не могли безопасно обрабатывать shielded входы до миграции на Zebra 5.0.0. Аргумент о листинге, который был центральным политическим тезисом индустрии privacy-coin с 2023 года, теперь читается иначе: монета может быть листируемой именно потому, что её приватность опциональна, а её приватность может быть тихо сломана именно потому, что она опциональна.

Специфика: таймлайн, блоки, версии

Последовательность, взятая из скоординированного раскрытия Foundation и release notes Zebra:

• 2022-05, Активация NU5, развёртывание пула Orchard с защитой с ошибочной проверкой умножения на эллиптической кривой в продакшене.
• 2026-05-28 : Anthropic выпускает Claude Opus 4.8.
• 2026-05-29 : AI-аудиторское окружение Тейлора Хорнби, запущенное с Opus 4.8 против схемы Orchard, выдаёт работающий эксплойт counterfeit-ZEC на локальном тестнете; частное раскрытие Zcash Foundation следует в течение нескольких часов.
• 2026-06-02 : Софт-форк выходит в Zebra 4.5.3, отключая shielded Orchard-транзакции по всей сети как экстренную меру.
• 2026-06-03 : Хард-форк NU6.2 активируется на блоке 3,364,600 через Zebra 5.0.0, восстанавливая shielded функциональность с пропатченными proof-схемами; Foundation публикует публичное раскрытие в тот же день.

Окно дремлющей уязвимости, рассчитанное от активации NU5 до эксплойта Хорнби, составляет примерно четыре года и семнадцать дней, в течение которых любая достаточно мотивированная сторона с той же криптографической грамотностью могла, в принципе, незаметно чеканить ZEC.

Что это меняет для Directory

Наша редакционная позиция, которую мы уточняли с момента появления слухов в конце мая, теперь явна. Мы продолжим листинг no-KYC сервисов, принимающих ZEC, где они существуют, потому что пост-NU6.2 протокол, насколько известно публично, корректен, и потому что пользователи, держащие ZEC, заслуживают площадок для перемещения без захвата идентичности. Однако мы больше не будем рассматривать ZEC как криптографически эквивалентный XMR в наших таблицах сравнения, и мы будем помечать Monero-only сервисы позитивным редакционным сигналом, а не нейтральным, потому что урок бага Orchard не в том, что инженеры Zcash были небрежны (они не были небрежны), а в том, что опциональный слой приватности, это структурно недоаудированный слой приватности, и что криптографическая гарантия, используемая 15% трафика сети, не заслуживает того же доверия, что и используемая 100%.

Источники

• Zcash vs Monero: The 2026 Privacy Coin War Just Got Decided in One Week (CryptoTimes)
• An Empirical Analysis of Linkability in the Monero Blockchain (arXiv 1704.04299)
• Monero's Privacy Revolution: FCMP++ and the Largest Anonymity Set in Crypto History (Quasa)
• Detecting Anomalies in the Monero P2P Network (arXiv 2509.10214)

Журнал правок

• 2026-05-04 : Первое прочтение квартального отчёта о прозрачности Shielded Labs, отмечен постоянно низкий shielded-throughput ratio как потенциальный редакционный угол.
• 2026-05-19 : Извлечены шесть месяцев данных о shielded-vs-transparent объёмах Zcash из публичных эксплореров, ~15% подтверждено независимо от дашбордов Electric Coin Co.
• 2026-05-29 : Первый частный слух о баге класса Orchard через контакт-исследователя, отказ от публикации до скоординированного раскрытия, открыт holding document.
• 2026-05-31 : Перепроверено предварительное описание эксплойта Хорнби против литературы arXiv о under-constrained PLONK-style схемах, заметки о пропущенном инварианте скалярного умножения.
• 2026-06-01 : Черновик открытия и раздела «Механизм», три переписывания для удаления em-dashes, унаследованных из цитат источников, нормализация всех дат в ISO-формат, добавлен план внутренней ссылки на наш тег Monero-only сервисов.