La Fundación Zcash corrige errores críticos en el consenso después de un mes récord de hackeo por $651 millones

Hoy, 2 de mayo de 2026, la Fundación Zcash acaba de lanzar Zebra 4.4.0, instando a todos los operadores de nodos a actualizar inmediatamente después de corregir múltiples fallas de seguridad, incluidas varias que podrían haber dividido el consenso de la red.

El parche llega mientras abril cierra como el peor mes para exploits de criptomonedas hasta la fecha. La firma de seguridad blockchain CertiK confirmó aproximadamente $651 millones en pérdidas totales en toda la industria.

¿Qué tipo de fallas de Zcash corrige Zebra 4.4.0?

La actualización resuelve cinco vulnerabilidades separadas en Zebra, la implementación de nodo Zcash basada en Rust construida por la Fundación Zcash. Tres de los errores son críticos para el consenso, lo que significa que los atacantes podrían haberlos explotado y hecho que los nodos Zebra aceptaran transacciones que los clientes zcashd legacy rechazarían, dividiendo así la red.

El problema más grave (GHSA-28xj-328h-72vm) permitía a un hacker remoto detener permanentemente un nodo de descubrir nuevos bloques con solo una conexión. El ataque combinó tres debilidades en la forma en que Zebra compartía y descargaba información. 

Según el aviso de la Fundación Zcash, el exploit «produjo cero puntuación de mal comportamiento, cero prohibiciones y cero desconexiones», haciéndolo invisible para las herramientas de monitoreo estándar.

Un segundo error (GHSA-jv4h-j224-23cc) también hizo que Zebra perdiera la cuenta de cuántas firmas había dentro de un bloque de transacciones (normalmente contaría menos que el límite de 20.000 sigops de bloque).

Al parecer, el sistema de Zebra ignoró dos tipos específicos de scripts (el scriptSig de la entrada Coinbase y las firmas P2SH) durante la validación de bloques. Debido a esto, un atacante podría crear un bloque explotando ambas lagunas, pasando las verificaciones de Zebra pero fallando en zcashd y creando una división de cadena.

El tercer problema importante (GHSA-gq4h-3grw-2rhv) ocurrió debido a una corrección previa de sighash que dejó datos obsoletos en un área de almacenamiento temporal (buffer) legible a través de la interfaz de función externa C++ de Zebra. 

Como tal, un atacante podría explotar esto usando una firma válida para llenar el buffer con información correcta, y luego enviar una segunda transacción con un tipo de hash inválido que pasaría la verificación basada en los datos restantes. 

Para resolver esto, la Fundación aplicó una corrección temporal que dispersa el buffer con bytes aleatorios si una verificación falla, evitando así que el sistema reutilice información antigua hasta que se implemente una corrección permanente.

Los últimos dos errores causaron desacuerdos entre otras partes del sistema. Un error sobrecargó la red al hacer que usara demasiada memoria al leer mensajes (GHSA-438q-jx8f-cccv). El otro fue una discrepancia menor de codificación en la forma en que Zebra verificaba ciertas transacciones (GHSA-cwfq-rfcr-8hmp).

La Fundación señaló que el último no era explotable en la práctica, pero aún así procedió a parchearlo para coincidir con el comportamiento de zcashd. El investigador de seguridad Sangsoo-osec fue acreditado por descubrir tres de los cinco problemas.

¿Podría el lanzamiento haber llegado en un mejor momento?

Según DeFiLlama, abril de 2026 fue el mes más hackeado en la historia de las criptomonedas (por número de incidentes), sufriendo un estimado de 28 a 30 ataques separados. La Publicación en X de CertiK el 30 de abril situó las pérdidas totales en aproximadamente $651 millones, la más alta desde marzo de 2022, excluyendo la brecha de Bybit en febrero de 2025.

Dos incidentes fueron responsables de la mayor parte del daño. El 1 de abril, Drift Protocol perdió unos $285 millones en una operación de ingeniería social vinculada al Grupo Lazarus de Corea del Norte. Para el 18 de abril, KelpDAO había sufrido su propio exploit de suplantación de mensajes por $293 millones que apuntaba a un puente cross-chain de LayerZero, según Cryptopolitan. 

Cabe destacar que ninguno de los exploits de abril atacó directamente a Zcash. Pero el volumen masivo de ataques en todas las cadenas refleja por qué su Fundación eligió etiquetar la actualización de Zebra como «crítica» e impulsar su adopción inmediata.

Qué deben hacer los operadores de nodos de Zcash

La Fundación aconseja a todos los operadores que actualicen a Zebra 4.4.0 inmediatamente, ya que el lanzamiento no introduce ningún otro cambio significativo más allá de las correcciones de seguridad. 

Los operadores de nodos que ejecutan versiones anteriores siguen expuestos a las cinco vulnerabilidades, incluida la interrupción del descubrimiento de bloques que requiere solo una conexión maliciosa única para ejecutarse.

ZEC cotizaba a $377.46 en el momento de escribir, según CoinMarketCap, con una capitalización de mercado de $6.28 mil millones.