Zcash daalt scherp na lek dat onbeperkt namaak-ZEC mogelijk maakte
In het kort
- Shielded Labs onthulde een kritiek lek in Zcash' Orchard-pool waarmee onbeperkt, onzichtbare namaak-ZEC te maken was.
- De kwetsbaarheid zat er sinds mei 2022 in en bleef vier jaar onopgemerkt.
- Onderzoeker Taylor Hornby vond het lek op 29 mei met hulp van Anthropics Opus 4.8; een noodfix volgde begin juni.
- ZEC daalde ongeveer 30% tot rond 400 dollar, een verlies dat opliep tot meer dan 40%.
Het lek zat in de Orchard-pool, het meest geavanceerde privacysysteem van Zcash. In die pool worden transacties versleuteld met zero-knowledge proofs, zodat afzender, ontvanger en bedrag verborgen blijven terwijl het netwerk de geldigheid wel kan verifiëren. Juist die privacy maakt het probleem ernstig: een aanvaller had volgens Shielded Labs munten kunnen bijdrukken zonder dat iemand het kon zien.
Shielded Labs, een non-profit die aan Zcash werkt, beschrijft het lek als een onvoldoende afgedekt onderdeel van het Orchard-circuit. Daardoor konden valse waarden door de cryptografische controle glippen. Een exploit die de organisatie in een testomgeving bouwde, genereerde onbeperkt en onzichtbaar namaak-ZEC. Was hetzelfde gereedschap op het echte netwerk losgelaten, dan had het volgens Shielded Labs net zo goed gewerkt.
Vier jaar onopgemerkt
De kwetsbaarheid bestond sinds de activering van Orchard in mei 2022. Vier jaar lang ontging het lek het toezicht van ervaren cryptografen. Het kwam pas aan het licht toen beveiligingsonderzoeker Taylor Hornby, in april 2026 door Shielded Labs ingehuurd om juist dit soort fouten op te sporen, op 29 mei een gerichte controle van het Orchard-circuit uitvoerde.
Hornby gebruikte daarbij Anthropics AI-model Opus 4.8, dat een dag eerder was uitgebracht. Na de ontdekking meldde hij het lek aan het Zcash Open Development Lab, dat begin juni een noodfix doorvoerde. Daarmee was het gat binnen enkele dagen na de ontdekking gedicht.
Geen zekerheid over misbruik
Wat de situatie voor de markt ingewikkeld maakt, is dat Shielded Labs niet met zekerheid kan zeggen of het lek vóór de fix is misbruikt. Door de privacy-eigenschappen van Orchard valt dat cryptografisch niet te achterhalen.
Wat dit bijzonder lastig maakt, is dat er door de privacy-eigenschappen van Orchard en de aard van de bug geen sluitende manier is om met alleen cryptografie te bepalen of zulk misbruik heeft plaatsgevonden voordat de kwetsbaarheid werd ontdekt en verholpen. We vinden het belangrijk transparant te zijn over die onzekerheid. — Shielded Labs
De organisatie acht misbruik wel onwaarschijnlijk. Het lek had jaren van onderzoek doorstaan, kwam alleen aan het licht met geavanceerde AI-hulpmiddelen en gericht speurwerk, en werd snel gedicht. "We denken dat hij waarschijnlijk de eerste was", schreef Shielded Labs over Hornby's poging om de fout vóór kwaadwillenden te vinden.
Voorgestelde netwerkupgrade
Om het vertrouwen in het ZEC-aanbod te herstellen, stelt Shielded Labs een netwerkupgrade voor waarmee iedereen de integriteit van het aanbod onafhankelijk kan controleren. Het plan voorziet in een nieuwe shielded pool en in turnstile accounting voor alle munten uit de Orchard-pool. Bij turnstile accounting wordt bijgehouden hoeveel waarde een privacypool in- en uitgaat, zodat er nooit meer uit kan komen dan erin is gestopt. Een gedetailleerd voorstel volgt mogelijk komende week.
Daarnaast versnelt de organisatie haar beveiligingswerk. Daar horen voortgezette samenwerking met Hornby bij, een formeel verificatieproject dat wiskundig moet bewijzen dat er geen onontdekte fouten meer in het Orchard-circuit zitten, en de werving van een Head of Security en een cryptograaf. Een volledige toelichting staat in de officiële bekendmaking van Shielded Labs op het Zcash-forum.
Koers en handelsvolume
ZEC daalde in 24 uur ongeveer 30% tot rond 400 dollar, aldus CoinDesk op het moment van de bekendmaking. Op vrijdag liep het verlies verder op tot meer dan 40%, met een dagdieptepunt van 264,80 dollar volgens CoinGecko. Daarmee zakte de marktwaarde naar circa 5,35 miljard dollar en staat ZEC op plek 20 van de grootste cryptomunten.
Het handelsvolume schoot omhoog naar ruim 2,1 miljard dollar over 24 uur, bijna een verdubbeling ten opzichte van een dag eerder. Eerder klom het aandeel afgeschermde ZEC dit jaar naar een record van meer dan 30% van het aanbod, ruwweg 4,9 miljoen munten. Gebruikers met tegoeden in de Orchard-pool wordt aangeraden die munten te unshielden.