Zcash виправляє критичну помилку в ноді, яка могла поставити мільйони в ZEC під ризик

• Zcash виправив критичну вразливість у програмному забезпеченні свого вузла, яка могла б зазнати розкриття мільйонів доларів у ZEC.
• Недолік вплинув на перевірку доказів для транзакцій, пов’язаних із застарілим захищеним пулом Sprout, хоча експлуатацію не було повідомлено.

Zcash усунув серйозну ваду в програмі, яка за неправильних обставин могла дозволити зловмисникам вивести з мережі значну суму ZEC із старішої частини. Проблема була всередині zcashd — програмного забезпечення вузла — і стосувалася транзакцій із використанням успадкованого захищеного пулу Sprout. Згідно з повідомленням про розкриття, вузли пропускали перевірку доказів у цих випадках. Це саме той тип помилки, який швидко привертає увагу в системах, орієнтованих на приватність, адже перевірки доказів — не другорядна деталь. Це частина базового механізму, який не дозволяє приймати некоректні перекази. Помилка в старому пулі, але все ще реальний ризик Вразливість оприлюднив Алекс «Scalar» Сол 23 березня, а публічний звіт було випущено у вівторок. Уражена ділянка не є основним актуальним шляхом приватності, про який більшість користувачів думає сьогодні, але це старіший пул Sprout, який уже було деактивовано. Водночас «деактивовано» не означає «безпечно». Якщо кошти все ще там зберігаються, поверхня атаки залишається актуальною. Наскільки ця вада була особливо чутливою, визначався тим, що недійсні транзакції могли пройти повз критичний етап перевірки. На практиці це могло відкрити двері для виведення коштів із пулу, не давши мережі виявити проблему там, де вона мала б. Zcash каже, що кошти в безпеці Поки що важливе ось що. Ваду виправили до будь-якої відомої експлуатації, і в повідомленні про розкриття сказано, що всі кошти користувачів залишаються в безпеці. Це має вгамувати негайну паніку, хоча й не стирає ширший урок. У криптосистемах застарілі компоненти мають звичку залишатися економічно релевантними ще довго після того, як екосистема встигла психологічно «рухнутися далі» від них. Старі пули, знята з ужитку логіка, деактивовані гілки коду — усе це й надалі має значення, коли реальні активи досі прив’язані. Для Zcash цей епізод менше про видиму шкоду і більше про цінність того, щоб виявити серйозний збій під час валідації ще до того, як він перетвориться на проблему. У безпеці блокчейну інколи найважливіша історія — це та, в якій експлойт так і не отримав шансу.