تجميع: فيليكس، PANews

في 5 شهر يونيو، كشف زوكو ويلكوكس، مؤسس Zcash، على منصة X أن الباحث الأمني تايلور هورنباي اكتشف في 29 شهر مايو ثغرة تزوير خطيرة للغاية في مجمع الخصوصية Orchard الخاص بـ Zcash. تسمح هذه الثغرة نظريًا للمهاجمين بتجاوز قيود النظام، وسك رموز ZEC مزيفة بكميات غير محدودة، وبسبب الخصائص التشفيرية لمجمع الخصوصية، يصعب اكتشاف هذا الهجوم بالوسائل التقليدية. علاوة على ذلك، كانت هذه الثغرة موجودة منذ تفعيل Orchard في 5 شهر مايو عام 2022.

علمت مختبرات التطوير المفتوحة لـ Zcash (ZODL) بالثغرة الأمنية واستجابت على الفور، وقامت بإصلاحها في 1 شهر. تعمل شبكة Zcash الآن بشكل طبيعي، وتشير البيانات الرسمية وعلى السلسلة إلى أن أموال المستخدمين والبيانات الخاصة والحد الأقصى للإمداد البالغ 21 مليون قطعة لم تتأثر بشكل كبير.

على الرغم من أن زوكو أكد أن احتمالية حدوث تزوير قبل إصلاح الثغرة الأمنية (التي استغرقت أكثر من أربع سنوات) كانت ضئيلة، إلا أن السوق بدا غير مطمئن. أظهرت بيانات Coingecko أن سعر رمز ZEC انهار بعد الإعلان عن الخبر، حيث انخفض بأكثر من 30٪ في 24 ساعة.

استخدام الذكاء الاصطناعي لكتابة برامج لفحص الثغرات الأمنية

تم اكتشاف هذه الثغرة الأمنية باستخدام أحدث تقنيات التدقيق الأمني المدعومة بالذكاء الاصطناعي جنبًا إلى جنب مع أساليب البحث الأمني التقليدية.

في 28 شهر، بعد فترة وجيزة من إصدار Anthropic لنموذج Opus 4.8، استخدمه تايلور لإجراء مراجعة عالية الاستهداف لدائرة Orchard. بمساعدة Opus 4.8، كتب تايلور برنامج استغلال كامل. عند اختباره في بيئة regtest محلية، كان البرنامج قادرًا على إنشاء كميات غير محدودة وغير قابلة للكشف من ZEC المزيفة. إذا قام بتشغيل نفس الأداة على الشبكة الرئسية لـ Zcash، فسيؤدي ذلك إلى إنشاء كميات غير محدودة وغير قابلة للكشف من ZEC المزيفة في محفظة Zcash الخاصة به على الشبكة الرئسية.

يتعلق هذا الثغرة بعنصر غير مقيد بشكل كافٍ في دائرة Orchard. نظرًا لعدم كفاية تقييد هذا العنصر، يمكن للمهاجم إدخال أي قيم خاطئة في عملية ضرب المنحنى الإهليلجي، ولا تزال عملية التحقق من الضرب ناجحة.

وما يزيد الأمر صعوبة هو أنه نظرًا لخصائص Orchard المتعلقة بالخصوصية وطبيعة الثغرة الأمنية نفسها، لا يمكن تحديد ما إذا كان مثل هذا الاستغلال قد حدث قبل اكتشاف الثغرة الأمنية وإصلاحها باستخدام التشفير وحده.

هل تم إصدار ZEC بشكل خبيث؟

هل أموال المستخدمين آمنة؟ هل تم إصدارها بشكل خبيث؟ ربما هذا هو السؤال الأكثر أهمية في السوق. يقدر زوكو أن هناك عدة عوامل يمكن أن "تثبت" عدم وجود إصدار خبيث.

أولاً، ظل هذا العيب مخفياً عن أعين العديد من خبراء التشفير لسنوات عديدة. ثانياً، لم يكن هذا الاكتشاف محض صدفة، بل كان نتيجة بحث متعمد من قبل الفريق عن مثل هذه العيوب، والتي عادةً ما "لا" يعرفها المهاجمون. علاوة على ذلك، استخدم تايلور أحدث أدوات الذكاء الاصطناعي التي لا يمكن إلا لباحثي الأمن ذوي القبعات البيضاء استخدامها، بالإضافة إلى مجموعة معقدة من أطر عمل الذكاء الاصطناعي المخصصة وأنظمة المطالبات، وأكمل المهمة قبل المهاجمين. بعد اكتشاف العيب، قام ZODL و النظام البيئي لـ Zcash بإصلاحه بسرعة، مما قلل من نافذة الاستغلال الزمنية.

وبالتالي، قبل إصلاح الثغرة الأمنية، كان عدد قليل جدًا من الأشخاص لديهم القدرة والفرصة لاكتشاف هذه الثغرة واستغلالها. وقد تم تأييد هذا الاستنتاج جزئيًا من قبل بعض الأشخاص.

يعتقد mert ، الرئيس التنفيذي لشركة Helius ، أنه على الرغم من أنه لا يمكن إثبات ما إذا كانت الثغرة الأمنية قد تم استغلالها بشكل مباشر على المدى القصير ، إلا أنه إذا تم الإطلاق turnstile أو تم الترحيل إلى مجمع خصوصية جديد قابل للتحقق في المستقبل ، فيمكن إثبات وجود مشكلة تزوير. بالإضافة إلى ذلك ، فإن استخدام فريق Zcash المتزايد للأدوات المتقدمة وتوظيف شركات أمنية خارجية لتدقيق أنفسهم قد زاد من الأمان إلى حد ما. إن اكتشاف Zcash للثغرة الأمنية وإصلاحها على الفور هو نتيجة لجهود الأمان المستمرة ، بل هو خبر سار.

لكن آرثر هايز، المؤسس المشارك لـ BitMEX، لديه وجهة نظر معاكسة، وكتب مقالاً قال فيه إنه قام بتصفية جميع مراكزه في ZEC. وقال هايز: "على الرغم من أن احتمالية سك العملات الضارة منخفضة للغاية، إلا أنه لا يمكن إثبات استحالتها رسميًا بالطرق التشفيرية. الادعاء بحماية الخصوصية من الذكاء الاصطناعي والحكومات وشركات التكنولوجيا الكبرى يتطلب الكمال المطلق، وليس الاحتمالية المنخفضة للغاية". كما قال إنه إذا تم دحض الافتراضات اللاحقة، فإنه لا يستبعد إعادة الشراء بسعر أقل.

ترقية الشبكة المقترحة، "إثبات" عدم وجود تزييف

تتباين آراء السوق حاليًا بشأن حادثة ثغرة مجمع Zcash Orchard. ولكن لإثبات سلامة إمدادات Zcash، تدعي منظمة Shielded Labs غير الربحية للتطوير الأساسي، والتي تركز على النظام البيئي لـ Zcash، أنها تتعاون مع مطوري Zcash الآخرين لاستكشاف خطة ترقية للشبكة تهدف إلى السماح لأي شخص بالتحقق من سلامة إمدادات Zcash و"إثبات" عدم وجود تزوير لـ Zcash في مجمع Orchard. تتضمن الخطة نشر مجمع محمي جديد وفرض آلية "محاسبة البوابة" على جميع الرموز في مجمع Orchard. سيتم نشر تفاصيل الاقتراح الأسبوع المقبل.

بالإضافة إلى ذلك، تدعي Shielded Labs أنها بصدد إطلاق مشروع يهدف إلى التحقق رسميًا من دوائر Orchard، وسيحاولون كتابة براهين رياضية، "لإثبات" أنه لا يوجد أي ثغرات غير مكتشفة فيها.

لا يزال من غير المؤكد ما إذا كان بإمكان Zcash تجاوز أزمة الثغرة الأمنية هذه بنجاح. ومع ذلك، فإن عملية التعامل مع هذه الأزمة ستوفر مرجعًا مهمًا لممارسات الأمان في مجال الخصوصية المشفرة.

قراءة ذات صلة: المتغير: من المرجح جدًا أن تصبح البيتكوين والإيثيريوم وزدكاش وسيلة تخزين قيمة رئيسية