Чотири роки в пітьмі: як у Zcash роками залишалася непоміченою критична вразливість

Чотири роки. Саме стільки вразливість пролежала в коді, який майже ніхто не використовував.

Схема Orchard запрацювала у травні 2022 року. Ваду в ній розкрили 29 травня 2026 року, після того як Тейлор Горнбі, працюючи з Opus 4.8 від Anthropic, написав повноцінний робочий експлойт проти системи доказів. Згідно з матеріалом CryptoTimes, баг «перебував у протоколі з моменту запуску Orchard у травні 2022 року», і «у разі експлуатації ця вада могла дозволити зловмиснику створити необмежену кількість фальшивих токенів ZEC повністю непомітно». Чотири роки, це надто довгий горизонт для будь-якої конструкції з нульовим розголошенням, тим паче для тієї, що лежить в основі приватності топ-двадцяткового активу. Очевидне запитання не в тому, як баг потрапив туди, zk-схеми складні, усі це знають, а чому ніхто не знайшов його так довго.

Відповідь, яку цей Довідник хоче тут обґрунтувати, має мало спільного з криптографією і майже все, з продуктовим дизайном. Вразливий шлях був екранованим, а екранованим шляхом користувачі Zcash переважно не ходять. Примітив, якого майже ніхто не торкається, не зазнає майже жодного противницького тиску, а примітив, який не зазнає такого тиску, старіє погано, хоч би якою елегантною була його базова стаття.

Що коштує «опціональність»

Тиск аудиту, це не стаття бюджету, це функція трафіку. Кодові шляхи, що обробляють основне навантаження системи, приваблюють мисливців за багами, MEV-шукачів, інтеграторів бірж, підтримувачів блокчейн-експлорерів, усіх, хто за своїх обставин мотивований досліджувати крайові випадки. Кодові шляхи, що обробляють невелику частку трафіку, приваблюють набагато вужчу аудиторію, переважно власних платних аудиторів протоколу та жменьку дослідників, що пишуть дисертації. Схема Orchard була структурно шляхом другого типу.

Коментарі протягом вікна розкриття зійшлися на цифрі приблизно вісімдесят п'ять відсотків пропускної здатності Zcash, що проходить через прозорі t-адреси, тобто через кодові шляхи, які не мають нічого спільного з Halo 2, Orchard або будь-яким примітивом з нульовим розголошенням. CryptoTimes зазначає, що «публічна кількість транзакцій Zcash залишалася по суті незмінною, близько 8 500 на день», і що домінуючий патерн використання від запуску мережі був у формі Bitcoin. Криптографія, яка дала Zcash назву, криптографія, яка обґрунтувала регуляторний кейс для його лістингу, несла на собі малу частку фактичного обсягу.

Баг у цьому примітиві був у чистих термінах очікуваної вартості менш імовірним для випадкового спрацювання, менш імовірним для появи в операційній телеметрії, менш імовірним, щоб його помітив випадковий інженер біржі під час реконсиляції. Та сама властивість, яка зробила Zcash лістинговим, а саме те, що можна просто не використовувати екранований пул, перетворила екранований пул на тихий куточок. Тихі куточки гниють.

Угода, яку уклав Zcash

Варто віддати належне цьому дизайнерському рішенню. Вибіркове розкриття через ключі перегляду, це реальна та корисна функція; Electric Coin Company побудувала її, тому що біржі, аудитори та нетривіальна частка інституційних користувачів справді потребують способу продемонструвати походження, не розголошуючи його. Ця функція, причина, чому Zcash залишався на Coinbase, Robinhood та Phemex упродовж 2025 року й до 2026 року, тоді як конкурентів тихо знімали з майданчика за майданчиком.

Контраст різкий. Упродовж 2025 року приблизно сімдесят три делістинги на рівні бірж вразили Monero, матеріал CCN про країни, що забороняють приватні монети, є стандартним реєстром тут. Kraken призупинив XMR для клієнтів ЄЕЗ у березні 2025 року, а Binance зробив це ще раніше того ж року. Нічого з цього не сталося з ZEC. Архітектура «опціонального екранування» плюс ключі перегляду дала командам з комплаєнсу історію, яку вони могли розповісти регуляторам, і ця історія протягом вікна приблизно вісімнадцяти місяців була найціннішою властивістю, яку могла мати приватна монета.

Угода, переформульована, така: Zcash купив дистрибуцію та лістинговість, зробивши свій приватний примітив опційним, а вартість цього рішення, сплачена заднім числом, чотири роки критичного коду з недостатнім аудитом.

Що купує обов'язкова приватність

Структурний аргумент для Monero не має нічого спільного з ідеологією і все, з формою трафіку. Кільцеві підписи, стелс-адреси та RingCT є, як сформулювало редакційне видання CryptoTimes, «невід'ємною умовою за замовчуванням, вбудованою в кожну транзакцію, без можливості вимкнення». Кожен гаманець, кожен майнер, кожен скрипт інтеграції біржі, кожен індексатор блокчейн-експлорера має задіяти приватний код у кожній транзакції, тому що немає іншого кодового шляху, на який можна відступити. Той самий примітив працює під живим противницьким навантаженням, кожен блок, протягом усього життя мережі.

Нещодавня робота FCMP++, висвітлена Quasa, є найчистішою ілюстрацією того, що ця форма трафіку робить з дорожньою картою проєкту. Матеріал зазначає, що теоретичний аноніміті-сет «зросте з 16 до понад 150 мільйонів, приблизно 10-мільйон-кратне збільшення», замінивши кільцеві підписи на «докази членства повного ланцюга», побудовані на Generalized Bulletproofs та Curve Trees. Це оновлення було розроблене, проаудитоване та випущене з припущенням, що кожна транзакція Monero негайно після активації пройде через новий примітив. Немає розділення екрановане проти прозоре, щоб хеджувати розгортання; примітив або працює для всіх, або не працює ні для кого, що концентрує зусилля з рецензування.

Mendoza-Smith et al., папір arxiv 1704.04299 про трасованість, і новіша робота 2509.10214 про квантифікацію аноніміті-сету обидві спираються на ту саму властивість при моделюванні Monero: припущення, що приватний код, це єдиний код. Моделі для Zcash завжди мають нести додатковий параметр для участі в екранованому пулі, і цей параметр історично був малим.

Обов'язкова приватність, з цього прочитання, не моральна позиція, а стратегія обслуговування. Це найдешевший спосіб гарантувати, що примітив, який має значення, є також примітивом, який піддається стрес-тестуванню.

Що це змінює для Довідника

Реакція Zcash Foundation на розкриття була прямолінійною та заслуговує на визнання: скоординований патч, хардфорк, запланований на NU6.2 на блоці 3 364 600 3 червня 2026 року, що відновлює екрановані транзакції з виправленими схемами, публічні постмортеми, та ціновий графік, який, незважаючи на тридцятишестивідсоткове падіння за одну сесію, зазначене CryptoTimes, близько трьох мільярдів доларів капіталізації, не обвалився далі. Команда виконала роботу. Жоден з редакційних аргументів вище не забирає цього в них.

Що змінюється для нас, тут, це оцінювальна шкала.

Вердикт Довідника, тепер від першої особи: ми перераховуємо вагу нашої колонки «підтримка приватних монет». Сервіс, що лістить ZEC, від цієї редакції більше не отримуватиме таку саму оцінку, як сервіс, що лістить XMR; лістинг ZEC буде анотовано, щоб вказати, що підтримуваний актив є на практиці переважно своєю прозорою формою, і оцінка відображатиме це. Кілька no-KYC своп-провайдерів у Довіднику тихо понижували пари Monero упродовж 2025 року на користь маршрутизації Zcash, тому що Zcash був дешевшим для інтеграції з комплаєнтними рейками; ми тепер позначатимемо цих провайдерів у відповідних картках приміткою, що своп, який вони пропонують, ближчий до «Bitcoin з історією про ключ перегляду», ніж до «приватності за замовчуванням». Сервіси, що зберігали пари XMR упродовж каскаду делістингів 2025 року, зокрема атомарні своп-майданчики та ринки на базі Haveno, отримають невелике підвищення ранжування, щоб відобразити, що вони тримали складніший маршрут відкритим у період, коли тримати його відкритим було дорого.

Міф про «опціональне екранування» полягав не в тому, що екранування не працювало; екранування в цілому працювало, і Горнбі знайшов баг раніше, ніж хтось його експлуатував. Міф полягав у тому, що можна купити регуляторне полегшення, десь за це не заплативши. Рахунок прийшов у травні 2026 року, з чотирирічним запізненням, з відсотками.

Джерела

• CryptoTimes, Zcash vs Monero, червень 2026
• Quasa, Monero FCMP++ аноніміті-сет
• Empirical Analysis of Linkability in Monero (arXiv 1704.04299)
• Anomaly detection in Monero P2P network (arXiv 2509.10214)
• ChangeNow blog, порівняння ZEC vs XMR
• CCN, Країни, що обмежують приватні монети, 2026

Журнал редагувань

• 2026-05-15 : Прочитав порівняння ZEC-vs-XMR від ChangeNow, зробив нотатки про частки екранованого пулу та історичне домінування t-адрес.
• 2026-05-22 : Витягнув пост Quasa про FCMP++ та папір arxiv 2509.10214, накреслив розділ контрасту обов'язкової приватності навколо цифри аноніміті-сету в 150M UTXO.
• 2026-05-30 : Перечитав матеріал CryptoTimes вранці після публікації, транскрибував дослівні цитати про чотирирічне вікно, 36%-ве падіння та формулювання «немає вимикача».
• 2026-06-04 : Перехрестив твердження з трекером делістингів CCN і підтвердив зупинку Kraken ЄЕЗ у березні 2025 та приблизний підрахунок 73 делістингів XMR упродовж 2025 року.
• 2026-06-09 : Фінальний прохід: прибрав кожен em-dash, стиснув абзац вердикту, додав внутрішню анотацію до нашого тегу сервісів лише Monero та до карток зачеплених своп-провайдерів.