Команда Zcash экстренно залатала серьёзную дыру в приватной инфраструктуре протокола — ту, что теоретически позволяла проводить двойное списание средств. Разработчики, майнеры и операторы инфраструктуры действовали скоординированно и в итоге успешно закрыли уязвимость до того, как ею кто-либо воспользовался.
29 мая исследователь Zcash Тейлор Хорнби, который проводит постоянный аудит протокола по заказу Shielded Labs, обнаружил критическую уязвимость в схеме доказательств с нулевым разглашением в пуле Orchard. В тот же день он передал информацию инженерам Zcash Open Development Lab (ZODL).
Фонд Zcash описал суть проблемы так: речь идёт об уязвимости типа soundness — то есть системе можно было «подсунуть» недопустимые данные, и она бы их приняла. В данном случае успешная атака могла бы позволить пулу Orchard принимать некорректные переходы состояний, что открывало путь к двойному расходованию средств внутри пула. При этом — важный момент — раздуть общее предложение ZEC было бы невозможно: от этого защищает механизм турникета (turnstile) в Zcash.
После обнаружения уязвимости все ключевые участники экосистемы работали в закрытом режиме, чтобы не допустить утечки информации и потенциальных атак. Первая попытка мягкого форка столкнулась с техническими трудностями, однако инженеры оперативно выпустили исправленный патч, который активировался 2 июня — временно отключив транзакции, связанные с Orchard. Уже 3 июня сеть завершила полный хардфорк, получивший название NU6.2: функциональность Orchard была восстановлена с исправленным кодом, а уязвимость устранена окончательно.
Фонд подчеркнул: никаких признаков эксплуатации уязвимости обнаружено не было — несанкционированного создания ценности в сети не зафиксировано. Поддержка цены ZEC на отметке $600 сохраняется, несмотря на произошедшие события.
Оперативное и слаженное реагирование команды Zcash — хороший пример того, как должна работать координация в крипто-экосистеме при обнаружении критических уязвимостей; рынку важно, что инцидент обошёлся без реального ущерба для пользователей.
Источник: newsbtc.com