Derleyen: Felix, PANews

5 Haziran'da Zcash'in kurucusu Zooko Wilcox, X platformunda güvenlik araştırmacısı Taylor Hornby'nin 29 Mayıs'ta Zcash Orchard gizlilik havuzunda son derece ciddi bir sahtecilik açığı keşfettiğini açıkladı. Bu açık, teorik olarak saldırganların sistem kısıtlamalarını aşarak sınırsız miktarda sahte ZEC token basmasına olanak tanıyor ve gizlilik havuzunun kriptografik özellikleri nedeniyle bu tür bir saldırının geleneksel yöntemlerle tespit edilmesi son derece zor. Ayrıca, bu açık Orchard'ın Mayıs 2022'de etkinleştirildiği zamandan beri mevcut.

Zcash Açık Geliştirme Laboratuvarı (ZODL) durumu öğrendikten sonra acil müdahale etti ve 1 Haziran'da güvenlik açığını giderdi. Şu anda Zcash ağı normale döndü ve resmi ve zincir üstü veriler, kullanıcı fonlarının, gizli verilerin ve 21 milyonluk toplam arz üst sınırının önemli ölçüde etkilenmediğini gösteriyor.

Zooko, güvenlik açığı giderilene kadar (dört yıldan fazla bir süre) sahtekarlık olasılığının düşük olduğunu vurgulamasına rağmen, piyasa endişelerini gidermemiş görünüyor. Coingecko verilerine göre, haberin duyurulmasının ardından ZEC token fiyatı düştü ve 24 saat içinde %30'dan fazla değer kaybetti.

Yapay Zeka Kullanarak Açıkları Bulmak İçin Program Yazma

Bu güvenlik açığının keşfi, en son yapay zeka destekli güvenlik denetim tekniklerinin yanı sıra geleneksel güvenlik araştırma yöntemleri kullanılarak gerçekleştirildi.

28 Ay , Anthropic , Orchard devresinin yüksek oranda hedeflenmiş bir incelemesi için Opus 4.8 modelini yayınladıktan kısa bir süre sonra Taylor tarafından kullanıldı . Taylor , Opus 4.8'in yardımıyla tam bir exploit geliştirdi . Yerel regtest ortamında test edildiğinde , program sınırsız ve tespit edilemeyen sahte ZEC üretebildi . Aynı aracı Zcash ana ağında çalıştırırsa , ana ağ Zcash cüzdanında sınırsız ve tespit edilemeyen sahte ZEC üretecektir .

Bu güvenlik açığı, Orchard devresindeki yetersiz kısıtlanmış bir bileşenle ilgilidir. Bileşenin yetersiz kısıtlanması nedeniyle, saldırganlar eliptik eğri çarpımına rastgele bir hata değeri girebilir ve çarpım kontrolü yine de geçebilir.

Özellikle zorlu olan, Orchard'ın gizlilik özellikleri ve açığın doğası gereği, kriptografi tek başına bu tür bir istismarın, açık keşfedilip düzeltilmeden önce gerçekleşip gerçekleşmediğini belirleyemez.

ZEC'te kötü niyetli ek emisyon var mı?

Kullanıcıların fonları güvende mi? Kötü niyetli bir ek emisyon yapıldı mı? Belki de piyasanın en çok merak ettiği soru budur. Zooko, kötü niyetli bir ek emisyon yapılmadığını "kanıtlayan" birden fazla faktör olduğunu değerlendiriyor.

Öncelikle, bu güvenlik açığı yıllarca birçok kriptografi uzmanının incelemesinden kaçtı. İkinci olarak, bu keşif tesadüfen değil, ekibin kasıtlı olarak bu tür güvenlik açıklarını aramasıyla gerçekleşti; saldırganlar genellikle bunları "bilmez". Ayrıca Taylor, yalnızca beyaz şapkalı güvenlik araştırmacılarının kullanabileceği en son yapay zeka araçlarını, karmaşık özel yapay zeka çerçeveleri ve istem sistemleri setini kullandı ve görevi saldırganlardan önce tamamladı. Güvenlik açığı keşfedildikten sonra, ZODL ve Zcash ekosistemi hızla düzelterek istismar edilebilecek zaman penceresini kısalttı.

Bu nedenle, açık kapatılmadan önce bu açığı keşfetme ve istismar etme yeteneğine ve fırsatına sahip olan çok az kişi vardı. Bu sonuç bazı kişiler tarafından da kabul edildi.

Helius CEO'su mert, açığın kısa vadede doğrudan kullanılıp kullanılmadığını kanıtlamak mümkün olmasa da, gelecekte turnstile'ın tetiklenmesi veya yeni bir doğrulanabilir gizlilik havuzuna geçiş yapılması durumunda sahtecilik sorununun varlığının kanıtlanabileceğini düşünüyor. Ek olarak, Zcash ekibinin son zamanlarda gelişmiş araçları giderek daha fazla kullanması ve kendi denetimlerini yapmak üzere dış güvenlik şirketleri tutması da bir dereceye kadar güvenliği artırdı. Zcash'in bu açığı bulup derhal onarması, devam eden güvenlik çalışmalarının bir sonucu ve hatta olumlu bir haberdir.

Ancak BitMEX'in kurucu ortağı Arthur Hayes ise karşıt bir görüş belirtti ve ZEC miktarını tamamen sattığını belirten bir yazı kaleme aldı. Hayes, kötü niyetli basım olasılığı son derece düşük olsa da, bunun imkansız olduğu kriptografik olarak kesin olarak kanıtlanamaz dedi. Gizliliği yapay zeka, hükümetler ve büyük teknoloji şirketlerinden koruma iddiası, son derece düşük bir olasılık değil, kusursuzluk gerektirir. Hayes ayrıca, gelecekteki varsayımların yanlışlanması durumunda daha düşük bir fiyattan yeniden alım yapabileceğini belirtti.

Ağ yükseltmesi planlanıyor, "kanıt" sahteciliği mevcut değil

Şu anda piyasanın Zcash Orchard havuzu açığı olayı hakkındaki görüşleri farklılık göstermektedir. Ancak Zcash arzının bütünlüğünü kanıtlamak için, Zcash ekosistemine odaklanan kar amacı gütmeyen çekirdek geliştirme kuruluşu Shielded Labs, herkesin Zcash arzının bütünlüğünü doğrulamasını ve Orchard havuzunda sahte Zcash'in mevcut olmadığını "kanıtlamasını" sağlamayı amaçlayan bir ağ yükseltme planını keşfetmek için diğer Zcash geliştiricileriyle işbirliği yaptığını belirtiyor. Bu plan, yeni bir korumalı havuzun konuşlandırılmasını ve Orchard havuzundaki tüm tokenlar için "turnstile accounting" mekanizmasının zorunlu kılınmasını içermektedir. Teklifin ayrıntıları önümüzdeki hafta açıklanacaktır.

Ayrıca Shielded Labs, Orchard devrelerini resmi olarak doğrulamayı amaçlayan bir projeye başladığını ve keşfedilmemiş herhangi bir güvenlik açığının bulunmadığını "kanıtlamak" için matematiksel kanıtlar yazmaya çalışacağını belirtti.

Zcash'in bu güvenlik açığı krizini atlatıp atlatamayacağı henüz bilinmiyor. Ancak bu kriz olayının ele alınma süreci, kripto gizlilik alanındaki güvenlik uygulamaları için önemli bir referans sağlayacaktır.

İlgili Okuma: Varyant: Bitcoin, Ethereum ve ZCash'in Başlıca Değer Depolama Yöntemleri Olma İhtimali Yüksek