Zcash ra mắt bản nâng cấp Ironwood vào Thứ Ba tại block 3.428.143, khóa vĩnh viễn pool private Orchard chứa 3,76 triệu ZEC trị giá 1.89Bỷ USD. Bản nâng cấp phản ứng với lỗ hổng giả mạo được nhà nghiên cứu Taylor Hornby phát hiện vào Tháng 5, có thể cho phép tạo ZEC giả mà không bị phát hiện. Pool bị khóa chiếm 22% tổng ZEC trong lưu thông, và dù số dư hiện có vẫn an toàn, người nắm giữ chỉ có thể rút tiền từ pool và không thể gửi thêm tiền mới.
Bản nâng cấp Ironwood thay đổi quyền truy cập của người dùng vào pool Orchard
Số dư bên trong pool bị khóa vẫn an toàn, và các địa chỉ hiện có tiếp tục hoạt động vì pool mới tái sử dụng chúng. Các nhà phát triển cho biết đa số người nắm giữ không cần thực hiện hành động ngay lập tức.
Ví vẫn đang xây dựng công cụ di chuyển. Cho đến khi một ví hoàn tất phát triển này, số dư có thể có vẻ bị kẹt đối với người dùng.
Nhà vận hành node phải cài bản phát hành Zcash Foundation Zebra 6.0.0 trước Thứ Ba. Bản phát hành này đặt mốc kích hoạt cho bản nâng cấp.
Một số sàn giao dịch có thể tạm dừng nạp hoặc rút trong giai đoạn chuyển đổi. Các nhà phát triển làm rõ rằng các đợt tạm dừng như vậy cho thấy sàn đang cập nhật hệ thống, chứ không phải Zcash bị trục trặc.
Pool mới tích hợp lớp bảo vệ lượng tử từ ZIP 2005. Nếu máy tính lượng tử làm hỏng các phương pháp mật mã hiện tại, số tiền trong pool mới có thể được khôi phục, trong khi các đồng ở pool cũ thì không. Điều này không cấu thành bảo vệ lượng tử đầy đủ.
Quy trình di chuyển làm lộ số lượng giao dịch và địa chỉ IP
Di chuyển tiền ra khỏi pool cũ khiến số lượng giao dịch được hiển thị công khai. Danh tính người gửi và người nhận vẫn được ẩn.
Ví kết nối tới các máy chủ có thể thấy địa chỉ IP của người dùng. Người quan sát có thể liên kết số lượng giao dịch nhìn thấy với các địa chỉ IP cụ thể, làm suy giảm quyền riêng tư của người dùng.
Zooko Wilcox, người sáng lập Zcash, đã viết trong hướng dẫn sử dụng dự án: “Vì vậy, đối với mỗi người dùng, vấn đề quan trọng số 1 là có quyền riêng tư ở cấp mạng (tức Tor hoặc Nym) trước khi di chuyển.”
Wilcox khuyên người dùng kích hoạt Tor hoặc Nym trước khi di chuyển, rồi chờ các nhà phát triển ví xác nhận mức an toàn của quá trình di chuyển. Ông cũng cảnh báo kẻ lừa đảo đang giả mạo hỗ trợ di chuyển Ironwood.
Lỗ hổng giả mạo khiến khóa khẩn cấp pool
Taylor Hornby, làm việc cho Shielded Labs, phát hiện một điểm yếu vào Tháng 5 trong các chứng minh toán học xác thực thanh toán Orchard. Lỗ hổng này có thể đã cho phép tạo ZEC giả mà không bị phát hiện.
ZODL, Zcash Open Development Lab, đã vá lỗi trong vài ngày. ZEC giảm hơn 30% sau khi công bố công khai, rơi xuống thấp nhất 385,80 USD.
Thiết kế Orchard ẩn toàn bộ số lượng giao dịch, khiến không thể xác minh liệu có bao giờ tạo ra coin giả hay không. Ironwood xử lý vấn đề này bằng cơ chế “turnstile” hoạt động như một bộ đếm, ngăn không cho nhiều ZEC thoát khỏi pool hơn so với số đã đi vào. Mọi coin giả, nếu tồn tại, sẽ bị mắc kẹt bên trong vĩnh viễn.
Sean Bowe và Dev Ojha viết trong một tuyên bố chung từ Project Tachyon và Valar Group: “Tuy nhiên, thay vì chỉ đơn thuần yêu cầu người dùng di chuyển ra khỏi một pool đã lỗi thời, chúng tôi đang buộc các ví thực hiện giao dịch Orchard trong pool mới.”
Các nhóm kiểm toán độc lập bên ngoài và công việc xác minh chính thức hỗ trợ bản vá.
Zcash đóng pool Sprout sau lỗi tương tự vào năm 2018
Nhà mật mã Ariel Gabizon phát hiện một lỗ hổng giả mạo trong Sprout, pool private đầu tiên của Zcash, vào Tháng 3 năm 2018. Công ty giữ kín phát hiện này trong 11 tháng, tích hợp bản vá vào bản nâng cấp Sapling vào Tháng 10 năm 2018. Việc công bố đầy đủ diễn ra vào Tháng 2 năm 2019.
Bản vá đó ngăn chặn việc tạo coin giả mới nhưng không thể xác minh liệu coin giả đã được tạo trước khi vá hay chưa. Pool Sprout đã bị đóng và bỏ mặc. Tám năm sau, 22.747 ZEC vẫn mắc kẹt trong pool đó, và turnstile chưa bao giờ bị vượt qua.
| So sánh | Sprout, 2018 | Orchard, 2026 |
|:-----------|:-------------|:--------------|
| Phát hiện lỗi | Tháng 3 năm 2018 | Tháng 5 năm 2026 |
| Công bố ra công khai | 11 tháng sau đó | Trong vòng vài ngày |
| Cách khắc phục | Lặng lẽ, bên trong Sapling | Bản vá, rồi Ironwood |
| Pool cũ | Để mở, di chuyển tùy chọn | Khóa, di chuyển bắt buộc |
| ZEC liên quan | 22.747 vẫn mắc kẹt | 3.765.594 cần di chuyển |
Ironwood khác ở chỗ yêu cầu di chuyển thay vì chỉ để tùy chọn.
Bảng điều khiển ZODL theo dõi tiến độ di chuyển theo thời gian thực
Bảng điều khiển của ZODL hiển thị số tiền rời Orchard theo từng block. Di chuyển chậm khiến một phần đáng kể ZEC private trở nên không thể sử dụng. Di chuyển nhanh giúp tăng cường khả năng xác minh cung, nhưng lại giảm quyền riêng tư do hoạt động bị tập trung.
ZEC giao dịch gần 506 USD vào Thứ Hai, tăng 4% trong 1 ngày và 22% trong 1 tháng. Trong năm qua, nó tăng hơn 1.100%, một hiệu suất đưa nó vào top 10 năm 2026 của Forbes.
Câu hỏi thường gặp
Điều gì xảy ra với ZEC trong pool Orchard cũ sau Thứ Ba?
Số dư vẫn an toàn bên trong pool bị khóa tại block 3.428.143. Người dùng có thể rút tiền nhưng không thể gửi thêm ZEC mới vào pool cũ. Các địa chỉ hiện có tiếp tục hoạt động vì pool mới tái sử dụng chúng.
Vì sao việc di chuyển tiền lại làm lộ số lượng giao dịch?
Di chuyển ZEC ra khỏi pool cũ khiến số lượng giao dịch trở nên hiển thị công khai, dù danh tính người gửi và người nhận vẫn được ẩn. Ví kết nối tới máy chủ thấy địa chỉ IP, cho phép người quan sát có thể liên kết các số lượng hiển thị với người dùng cụ thể mà không có lớp bảo vệ Tor hoặc Nym.
Ironwood khác gì với bản vá Sprout năm 2018?
Bản vá Sprout năm 2018 được triển khai âm thầm trong bản nâng cấp Sapling và để pool cũ mở với di chuyển tùy chọn. Ironwood khóa pool Orchard ngay khi kích hoạt và yêu cầu di chuyển, với cơ chế turnstile ngăn không cho nhiều ZEC thoát ra hơn số đã đi vào.
