Judul asli: Empat Pertanyaan Tentang Orchard Vulnerability
Original by Jason McGee, Shield Labs CEO, Zooko Wilcox, Zcash Founder
Qin Xiaofeng, Daily Planet

Organiser lainnyaPada tanggal 5 Juni, waktu Beijing, proyek privasi ZEC diledakkan oleh generasi baru kolam privasi, Orchard, di mana ada celah pemalsuan kunci, dan Zcash mata uang ZEC pernah jatuh ke minimum $250。

SETELAH 10 HARI FERMENTASI, KEPANIKAN DI PASAR MEREDA DAN HARGA ZEC MEMANAS, DAN HARI INI MEREKA KEMBALI KE $500. (DIREKOMENDASIKAN UNTUK DIBACA)"CETAKAN TAK TERBATAS" BOCOR SELAMA EMPAT TAHUNAku tidak yakin

Pagi ini, pendiri Zanch, Zooko Wilcox, sekali lagi menerbitkan berita panjang mengenai pasar。

Dia menunjukkan bahwa celah Orchard lebih mungkin untuk tidak dieksploitasi dan dana yang sah Orchard dapat dipulihkan; bahwa pengguna saat ini tidak dapat memverifikasi sendiri apakah pasokan Zcash telah melebihi standar, tetapi bahwa upgrade Ironwood akan menutup kolam renang Orchard dan mengembalikan kemampuan sertifikasi ini; dan bahwa tidak ada celah palsu lainnya telah diidentifikasi dalam tinjauan yang sedang berlangsung, tetapi sepenuhnya didirikan bahwa lebih banyak pekerjaan yang diperlukan。

Jangkauan Orchard baru-baru ini telah menimbulkan pertanyaan penting tentang ketersediaan Zcash dan keamanan dana pengguna. Perkembangan topik dalam diskusi membuat sulit untuk memahami dampak praktis dari kesenjangan pada pengguna. Upaya kertas untuk memisahkan isu-isu ini dan untuk menjelaskan makna mereka kepada pengguna satu per satu。

Jalan Orchard menimbulkan empat pertanyaan penting:

Apa lubang Orchard pernah digunakan

Dapatkah sah dana Orchard dikembalikan

Dapatkah pengguna memverifikasi bahwa pasokan Zcash belum meningkat

Bagaimana kita tahu bahwa tidak ada pemalsuan lain

Orchard, apakah lubangnya pernah digunakan

Tidak diketahui. Kami tidak percaya bahwa kemungkinan untuk digunakan sebelumnya adalah signifikan, meskipun tidak dapat benar-benar dikesampingkan. Kami percaya bahwa celah mungkin tidak dieksploitasi untuk tiga alasan:

Meskipun banyak passwordis top dunia dan peneliti keamanan telah terus-menerus meninjau celah ini selama bertahun-tahun, belum sebelumnya ditemukan. Penemuan utamanya tidak secara kebetulan; ditemukan oleh Taylor Hornby dari Lab Perisai, dengan tujuan proaktif mengidentifikasi celah keamanan tersebut sebelum penyerang berbahaya bisa mendapatkan mereka。

Taylor menggunakan teknik riset AI Auxiliary dan alat-alat buatan yang dirancang untuk mengidentifikasi cacat kecil ditinggalkan oleh orang lain, yang lebih sulit bagi orang-orang yang tidak akrab dengan perpustakaan kode Zcate。

Setelah celah ditemukan, pengembang Zcash (dipimpin oleh tim Open Development Labs Zcate) cepat, koordinasi dengan kolam renang, sementara membekukan kolam renang Orchard dan prosedur perbaikan dikerahkan, sehingga membatasi jendela kesempatan untuk serangan apapun。

Penggunaan celah mata uang terenkripsi adalah umum, dan penyerang biasanya menyadari mereka secepat mungkin, terutama setelah celah dibuat publik. Agar para penyerang mendapat keuntungan dari celah ini, mereka perlu mengubah ZEC yang ditempa menjadi aset yang berharga, yang biasanya mengarah ke ZEC keluar dari kolam renang Orchard melalui mekanisme turnkey。

JIKA CELAH ITU TELAH DIEKSPLOITASI SEBELUM DIPERBAIKI, KAMI MENGHARAPKAN BUKTI UNTUK MUNCUL SEKARANG. SECARA HISTORIS, PENGGUNAAN CELAH DALAM MATA UANG TERENKRIPSI SERING MENJADI LATIHAN "MEREBUT", DARIPADA STRATEGI UNTUK MENYEMBUNYIKAN BULAN ATAU BAHKAN TAHUN SEPERTI CATUR 4D。

Apa dana legal Orchard bisa dikembalikan

Kami percaya itu, karena kami percaya bahwa celah yang belum pernah dieksploitasi. Jika ini benar, semua dana yang sah Orchard masih bisa sepenuhnya pulih。

Di sisi lain, jika pemalsuan terjadi di Orchard, mekanisme pengiriman yang ada akan membatasi total volume migrasi dengan jumlah ZEC yang masuk kolam renang secara legal。

Akibatnya, jika uang palsu mendahului transfer dana hukum, pengguna tidak akan dapat memulihkan beberapa atau semua dana Orchard sah。

Kami percaya bahwa ini tidak mungkin terjadi. Bagi pengguna yang lebih berhati-hati, bagaimanapun, disarankan untuk dikeluarkan dari Orchard。

Sebelum melakukannya, bagaimanapun, mereka harus memahami berikut:

transfer dana ke kolam transparansi (ke t) akan mengungkapkan jumlah dan waktu transfer, dan dana akan dihubungkan secara terbuka ke alamat t itu。

Transfer dana dari kolam Orchard ke kolam Sapling akan mengungkapkan jumlah dan waktu transfer, tapi, tidak seperti transfer ke alamat, itu tidak akan menghubungkan dana ke alamat atau riwayat transaksi tertentu。

Kolam renangnya bergantung pada upacara kredibel tahun 2018. Mengandalkan keamanan set-up kredibel ini adalah risiko tambahan bahwa pengguna harus sadar。

Sejauh yang kita tahu, YWallet dan Zkool saat ini satu-satunya melayani Zcash dompet yang umum digunakan dan mendukung kolam Sapling。

Mentransfer dana ke dompet atau jasa hosting baru akan memperkenalkan resiko tambahan, termasuk kesalahan pengguna, kekurangan perangkat lunak, hosting risiko partai atau masalah tak terduga lainnya。

Secara umum, kita menganggap resiko di atas untuk menjadi moderat。

Jika dana Anda saat ini disimpan dalam dompet yang aman, itu akan masuk akal untuk meninggalkan mereka di sana, mengingat penilaian kami bahwa pemalsuan sebelumnya tidak mungkin terjadi. Mungkin juga masuk akal untuk mentransfer dana ke tempat lain jika Anda memiliki cara yang aman melakukannya. Pengguna dapat menarik kesimpulan yang berbeda tergantung pada keadaan mereka sendiri。

Dapatkah pengguna memverifikasi bahwa pasokan Zcash belum meningkat

BELUM. KEBERADAAN SEBELUMNYA DARI CELAH TERSEBUT MENCEGAH PENGGUNA DARI SECARA INDEPENDEN MEMASTIKAN APAKAH ZEC YANG BEREDAR DALAM KOLAM PERISAI SAAT INI TIDAK MELAMPAUI JUMLAH YANG TEPAT。

Namun, seperti yang kami tunjukkan sebelumnya, peningkatan Ironwood memulihkan kemampuan ini. Alasan yang ditampilkan dalam gambar di bawah ini。

Peningkatan jaringan yang diusulkan telah memecahkan masalah ini dengan menambahkan jaminan bahwa tidak ada lagi pemalsuan yang tidak diketahui dan dengan memblokir kolam Orchard. Dana baru tidak lagi tersedia dan dana kolam renang tidak lagi berputar。

Satu-satunya rute yang tersisa adalah melalui mekanisme trans- pintu yang ada, yang memastikan bahwa ZECS ditransfer dari kolam Orchard tidak melebihi jumlah entri hukum。

Perubahan ini mengembalikan kemampuan untuk memverifikasi integritas persediaan Zcash。

Saat ini, jika ada dana palsu di kolam renang Orchard, mereka dapat terus beredar di kolam renang. Ini tidak lagi mungkin setelah upgrade. Apakah pemalsuan terjadi atau tidak, setiap orang yang mengoperasikan node dapat memverifikasi bahwa ZEC dalam sirkulasi tidak akan melebihi jumlah yang benar。

Pengguna tidak harus menunggu dana untuk dipindahkan dari Orchard, juga tidak mereka perlu menyimpulkan kemungkinan perilaku pada bagian dari penyerang atau pengguna lainnya. Persetujuan itu sendiri memberikan jaminan bahwa kelebihan ZEC tidak dapat terus beredar dalam Orchard dan mendorong pasokan。

Hal ini penting karena jangka panjang kredibilitas dari Zcash tergantung pada kemampuan pengguna untuk memverifikasi integritas pasokan mereka. Ironwood telah memulihkan kemampuannya secara independen memverifikasi apakah pembatasan pasokan protokol telah ditegakkan。

Bagaimana kita tahu tidak ada pemalsuan lain

Kami belum sepenuhnya yakin, tapi kami punya alasan untuk percaya bahwa tidak ada celah lain. Lab Shield dan beberapa tim lainnya telah dengan hati-hati memeriksa apakah ada pemalsuan lain dalam perjanjian Zcash。

Ini termasuk mencari celah tambahan dengan bantuan Anthropic, tak lama sebelum Mythos ditangguhkan, menggunakan model Mythos AI yang belum dipublikasikan. Kami berencana untuk berbagi rincian lebih lanjut tentang ulasan dan temuan dalam follow- up Boeed。

HINGGA SAAT INI, TAK ADA PEMALSUAN LAIN YANG TERDETEKSI. KEAHLIAN TINGGI, USAHA DAN ANALISIS DUKUNGAN AI YANG CANGGIH YANG TERLIBAT DALAM PENCARIAN MEMBERI KITA KEYAKINAN YANG LEBIH TINGGI BAHWA TIDAK ADA CELAH SERUPA TELAH DITEMUKAN。

Selain itu, kami bekerja dengan proyek-proyek seperti Tachyon Project untuk memberikan jaminan tambahan bahwa tidak ada pemalsuan dalam Zcash. Kami akan menjelaskan lebih lanjut ini dalam literatur masa depan。

Kesimpulan

Jalan keluar Orchard menyajikan empat masalah penting:Apakah celah telah digunakan, apakah dana Orchard yang sah dapat dipulihkan, apakah pengguna dapat memverifikasi bahwa pasokan Zcash belum meningkat, dan apakah pemalsuan lainnya yang belum ditemukan ada。

Kami tidak melihat kemungkinan telah digunakan sebelumnya, sehingga dana yang sah Orchard dapat dipulihkan dan saat ini pasokan Zcash aman. Kami juga semakin yakin bahwa tidak ada pemalsuan lain yang belum ditemukan, berdasarkan tinjauan terus-menerus oleh banyak peneliti dan tim independen。

Namun, pengguna belum bisa memverifikasi keselamatan persediaan Zcash, dan mereka seharusnya tidak bergantung pada penilaian kami - atau orang lain。

Upgrade yang diusulkan dari jaringan alamat masalah ini. Melalui penyimpanan kolam renang Orchard, itu memulihkan kemampuan pengguna 's untuk independen memverifikasi keamanan pasokan Zcash. Pengguna tidak perlu lagi untuk menilai apakah pemalsuan telah terjadi untuk memverifikasi apakah pembatasan pasokan kesepakatan telah dipenuhi。

Tautan Asli