مؤسسة Zcash تصحح ثغرات حرجة في الإجماع بعد شهر اختراق قياسي بقيمة 651 مليون دولار
- أطلقت مؤسسة Zcash إصدار Zebra 4.4.0 لإصلاح خمسة ثغرات، بما في ذلك ثلاثة أخطاء "حاسمة للإجماع" كان من الممكن أن تتسبب في انقسام الشبكة.
- سمح العيب الأكثر خطورة لمخترق عن بُعد باستخدام اتصال واحد لإيقاف عقدة ما بشكل دائم عن العثور على كتل جديدة.
- شهد أبريل 2026 خسائر صناعية إجمالية تقارب 651 مليون دولار عبر 28 إلى 30 هجومًا منفصلًا.
اليوم، 2 مايو 2026، أصدرت مؤسسة Zcash للتو Zebra 4.4.0، محذرة جميع مشغلي العقد من الترقية فوراً بعد إصلاح عيوب أمنية متعددة، بما في ذلك عدة عيوب كان من الممكن أن تقسم إجماع الشبكة.
يأتي التصحيح مع إغلاق أبريل كـ أسوأ شهر للاختراقات في العملات المشفرة حتى الآن. أكدت شركة أمان البلوك تشين CertiK خسائر إجمالية تقارب 651 مليون دولار عبر الصناعة.
ما هي عيوب Zcash التي يصححها Zebra 4.4.0؟
التحديث يحل خمس ثغرات منفصلة في Zebra، تنفيذ عقدة Zcash القائم على Rust والمبني من قبل مؤسسة Zcash. ثلاثة من هذه الأخطاء حرجة للإجماع، مما يعني أن المهاجمين كان بإمكانهم استغلالها وجعل عقد Zebra تقبل المعاملات التي كانت سترفضها عملاء zcashd التقليدية، وبالتالي تقسيم الشبكة.
كانت المشكلة الأكثر خطورة (GHSA-28xj-328h-72vm) تسمح لمخترق عن بُعد بإيقاف عقدة عن اكتشاف كتل جديدة بشكل دائم بمجرد اتصال واحد. جمع الهجوم بين ثلاث نقاط ضعف في كيفية مشاركة Zebra وتحميل المعلومات.
وفقاً لإشعار مؤسسة Zcash، فإن الاستغلال "أنتج صفرًا في درجة سوء السلوك، وصفرًا في الحظر، وصفرًا في قطع الاتصال"، مما جعله غير مرئي لأدوات المراقبة القياسية.
ثغرة ثانية (GHSA-jv4h-j224-23cc) جعلت Zebra تفقد العد لعدد التوقيعات داخل كتلة من المعاملات (كانت تعد عادة أقل من حد 20,000 توقيع للكتلة).
على ما يبدو، تجاهل نظام Zebra نوعين محددين من النصوص البرمجية (scriptSig لإدخال Coinbase، وتوقيعات P2SH) أثناء التحقق من الكتلة. بسبب هذا، يمكن لمهاجم إنشاء كتلة تستغل كلا الثغرتين، وتجاوز فحوصات Zebra ولكن الفشل على zcashd وإنشاء انقسام في السلسلة.
حدثت المشكلة الرئيسية الثالثة (GHSA-gq4h-3grw-2rhv) بسبب إصلاح sighash سابق ترك بيانات قديمة في منطقة تخزين مؤقت (مخزن مؤقت) قابلة للقراءة عبر واجهة الوظائف الأجنبية C++ في Zebra.
وبالتالي، يمكن لمهاجم استغلال هذا باستخدام توقيع صالح لملء المخزن المؤقت بمعلومات صحيحة، ثم إرسال معاملة ثانية بنوع هاش غير صالح ستمر بالتحقق بناءً على البيانات المتبقية.
لحل هذه المشكلة، طبقت المؤسسة إصلاحاً مؤقتاً يبعثر المخزن المؤقت ببيانات عشوائية إذا فشل الفحص، مما يمنع النظام من إعادة استخدام المعلومات القديمة حتى يتم نشر إصلاح دائم.
أدى العيبان الأخيران إلى خلافات بين أجزاء أخرى من النظام. أحد العيوب أحمّل الشبكة بجعلها تستخدم ذاكرة زائدة عند قراءة الرسائل (GHSA-438q-jx8f-cccv). الآخر كان اختلافاً بسيطاً في البرمجة في كيفية تحقق Zebra من معاملات معينة (GHSA-cwfq-rfcr-8hmp).
لاحظت المؤسسة أن الأخير لم يكن قابلاً للاستغلال عملياً، لكنها مازالت تسير قدماً في تصحيحه لمطابقة سلوك zcashd. تم إرجاع الفضل للباحث الأمني Sangsoo-osec في اكتشاف ثلاثة من القضايا الخمس.
هل كان يمكن أن يأتي الإصدار في وقت أفضل؟
وفقاً لـ DeFiLlama, كان أبريل 2026 أكثر الأشهر اختراقاً في تاريخ العملات المشفرة (بعدد الحوادث)، حيث تعرض لتقديرات تتراوح بين 28 إلى 30 هجوماً منفصلاً. و منشور على X CertiK في 30 أبريل وضعت إجمالي الخسائر عند حوالي 651 مليون دولار، وهو أعلى مستوى منذ مارس 2022، باستثناء اختراق Bybit في فبراير 2025.
مسؤوليتان عن معظم الضرر. في 1 أبريل، فقد Drift Protocol حوالي 285 مليون دولار في عملية هندسة اجتماعية مرتبطة بمجموعة Lazarus الكورية الشمالية. بحلول 18 أبريل، تعرضت KelpDAO لاختراقها الخاص بقيمة 293 مليون دولار عبر تزوير الرسائل يستهدف جسر LayerZero متعدد السلاسل، وفقاً لـ Cryptopolitan.
جدير بالذكر أن أيًا من اختراقات أبريل لم يستهدف Zcash مباشرة. لكن الحجم الهائل للهجمات عبر السلاسل يعكس سبب قيام مؤسستها بتصنيف تحديث Zebra على أنه "حرج" ودفعه لاعتماد فوري.
ما يجب على مشغلي عقد Zcash فعله
توصي المؤسسة جميع المشغلين بالترقية إلى Zebra 4.4.0 فوراً، حيث لا يقدم الإصدار أي تغييرات أخرى ذات أهمية beyond الإصلاحات الأمنية.
يبقى مشغلو العقد الذين يشغلون إصدارات أقدم عرضة لجميع الثغرات الخمس، بما في ذلك توقف اكتشاف الكتلة الذي يتطلب فقط اتصالاً خبيثاً واحداً للتنفيذ.
ZEC تتداول عند $377.46 في وقت كتابة هذا التقرير، وفقاً لـ CoinMarketCap، مع قيمة سوقية تبلغ 6.28 مليار دولار.
إذا كنت تقرأ هذا، فأنت متقدّم بالفعل. ابق هناك مع نشرتنا الإخبارية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
هانا كولي مور
هانا كاتبة ومحرّرة تمتلك خبرة تمتد لأكثر من عقد في كتابة المدونات وتغطية الفعاليات في مجال العملات الرقمية. في موقع كريبتوبوليتان، تساهم هانا في صفحة الأخبار من خلال تغطية وتحليل أحدث التطورات في مجالات التمويل اللامركزي (DeFi)، والأصول الواقعية (RWA)، وتنظيم العملات الرقمية، والذكاء الاصطناعي، وتقنيات الحدود الجديدة. تخرجت هانا من جامعة أركاديا بدرجة البكالوريوس في إدارة الأعمال.
